Figyelmeztetés: Komoly sebezhetőség érinti a WordPress kapcsolatfelvételi űrlapokat

A WordPress egyik népszerű bővítménye, amely a kapcsolatfelvételi űrlapok bejegyzéseit tárolja, súlyos sebezhetőséget mutatott. Ez a probléma potenciálisan 70,000 weboldalt érint, amelyeket a Contact Form 7, WPForms, vagy Elementor Forms plugin használ. A sebezhetőség lehetővé teszi, hogy jogosulatlan támadók fájlokat töröljenek, szolgáltatásmegtagadási támadást indítsanak, vagy távoli kódvégrehajtást hajtsanak végre. A sérülékenység súlyosságát 9.8-ra értékelték a 10-es skálán, ami azt jelzi, hogy a probléma rendkívül komoly.

A sebezhetőség részletei

A Contact Form Entries Plugin, amely a fenti űrlapok bejegyzéseit tárolja, lehetővé teszi a felhasználók számára, hogy megtekintsék a beérkezett űrlapokat, kereshetnek közöttük, megjelölhetik azokat olvasottként vagy olvasatlanul, és exportálhatják az adatokat. A plugin eddig több mint 70,000 telepítést ért el, ami széles körű használatát jelzi. A problémát a PHP Object Injection okozza, amely lehetővé teszi a támadók számára, hogy bejelentkezés nélkül is támadást indítsanak. A PHP objektumok adatszerkezetek, amelyeket a programozók a weboldalak működésének részeként használnak.

A sebezhetőség forrása az, hogy a bővítmény lehetővé teszi egy megbízhatatlan PHP objektum injektálását jogosulatlan felhasználók által. Ha a WordPress weboldalon a Contact Form 7 plugin is telepítve van, akkor a támadók POP láncot indíthatnak el a deszerializálás során. A Wordfence figyelmeztetése szerint „ez lehetővé teszi a jogosulatlan támadók számára, hogy PHP objektumot injektáljanak. Ezenkívül a Contact Form 7 pluginban található POP lánc jelenléte lehetővé teszi a támadók számára, hogy tetszőleges fájlokat töröljenek, ami szolgáltatásmegtagadáshoz vagy távoli kódvégrehajtáshoz vezethet, különösen ha a wp-config.php fájlt törlik.”

Mit tegyenek a felhasználók?

A felhasználóknak sürgősen frissíteniük kell a bővítményt a legújabb verzióra, amely jelen pillanatban az 1.4.5. verzió. A frissítés nemcsak a sebezhetőségek elkerülését segíti elő, hanem a plugin további funkcióinak javítását is biztosítja. A legjobb gyakorlat az, hogy rendszeresen ellenőrizzük a bővítmények frissítéseit, és biztosítsuk, hogy a weboldalunk mindig naprakész legyen.

Fontos megjegyezni, hogy a weboldal biztonsága érdekében a felhasználóknak javasolt a biztonsági mentések készítése is. Ezzel a módszerrel minimálisra csökkenthető a károk mértéke, ha egy esetleges támadás bekövetkezne. A biztonsági mentések révén a weboldal tartalma gyorsan helyreállítható, így elkerülhetők a hosszú leállások és az adatvesztés.

Császár Viktor véleménye a helyzetről

Megkérdeztük Császár Viktor SEO szakértőt, hogy mit gondol erről a friss hírről. „A WordPress bővítmények sebezhetőségei mindig is fontos kérdést jelentettek a weboldal üzemeltetői számára. Az, hogy egy olyan széles körben használt plugin, mint a Contact Form Entries, ennyire súlyos problémával küzd, figyelmeztető jel a közösség számára. Elengedhetetlen, hogy a weboldal üzemeltetők folyamatosan figyelemmel kísérjék a biztonsági frissítéseket, és azonnal reagáljanak a potenciális fenyegetésekre. A felhasználói adatok védelme érdekében a proaktív megközelítés mindig a legjobb megoldás.” További információkért látogasson el Császár Viktor weboldalára: csaszarviktor.hu.

Forrás: SearchEngineJournal.com