وجود خلل في برنامج ووردبريس الشعبي يضيف Jetpack أكثر من مليون موقع للخطر

يجب على مالكي المواقع الإلكترونية المستندة إلى WordPress تحديث المكون الإضافي Jetpack في أقرب وقت ممكن بسبب عيب خطير قد يحدث فضح مستخدميها للهجمات.

Jetpack هو برنامج إضافي شائع يوفر ميزات مجانية للتحسين والإدارة والأمان في مواقع الويب. تم تطويره من قبل Automattic ، الشركة وراء WordPress.com ومشروع OpenPress مفتوح المصدر ، ولديه أكثر من مليون منشأة نشطة.

وقد وجد الباحثون من شركة Sucuri للأمن على الويب ثغرة تخزينية عبر المواقع (XSS) يؤثر على جميع إصدارات Jetpack منذ عام 2012 ، بدءًا من الإصدار 2.0.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows]

توجد المشكلة في الوحدة النمطية Shortcode Embeds Jetpack التي تتيح للمستخدمين تضمين مقاطع الفيديو الخارجية والصور والوثائق والتغريدات والموارد الأخرى في محتواها. يمكن استغلالها بسهولة لإدراج شفرة جافا سكريبت الضارة في التعليقات.

نظرًا لأن شفرة جافا سكريبت ثابتة ، فسيتم تنفيذها في متصفحات المستخدمين في سياق موقع الويب المتأثر في كل مرة يعرضون فيها التعليق الخبيث. يمكن استخدام هذا لسرقة ملفات تعريف الارتباط المصادقة الخاصة بهم ، بما في ذلك جلسة المسؤول؛ لإعادة توجيه الزائرين إلى عمليات استغلال ، أو لإدخال البريد المزعج لتحسين محركات البحث (SEO).

"يمكن استغلال الثغرة بسهولة من خلال تعليقات wp ونوصي الجميع بتحديثها في أسرع وقت ممكن ، إذا لم تكن قد فعلت ذلك بعد" ، قال Sucuri الباحث Marc-Alexandre Montpas في مشاركة مدونة.

لا تتأثر المواقع التي لم يتم تفعيلها في وحدة Shortcode Embeds ، ولكن هذه الوحدة توفر وظائف شائعة بحيث يكون من المحتمل أن تكون العديد من المواقع ممكّنة فيها.

مطوري Jetpack عملت مع فريق الأمان في WordPress لدفع التحديثات إلى جميع الإصدارات المتأثرة من خلال نظام التحديث التلقائي الأساسي لـ WordPress. تحتوي إصدارات Jetpack 4.0.3 أو الأحدث على الإصلاح.

في حالة عدم رغبة المستخدمين في الترقية إلى الإصدار الأحدث ، قام مطورو Jetpack أيضًا بإصدار إصدارات نقاط لكل واحد والعشرين من الفروع الضعيفة من تعليمات البرمجة الأساسية Jetpack: 2.0. 7 ، 2.1.5 ، 2.2.8 ، 2.3.8 ، 2.4.5 ، 2.5.3 ، 2.6.4 ، 2.7.3 ، 2.8.3 ، 2.9.4 ، 3.0.4 ، 3.1.3 ، 3.2.3 ، 3.3.4 و 3.4.4 و 3.5.4 و 3.6.2 و 3.7.3 و 3.8.3 و 3.9.7 و 4.0.3.