مقدمه
یک آسیبپذیری باشناسه CVE-2022-4328 و شدت بحرانی (9.8) در نسخههای قبل از 18.0 افزونه WooCommerce، سیستم مدیریت محتوای وردپرس کشف شده که امکان بارگذاری فایلهای دلخواه مانند php را برای مهاجم بر روی سرور فراهم میسازد.
جزئیات آسیبپذیری
ووکامرس افزونه وردپرس است که میتوان با آن اقدام به راهاندازی فروشگاه اینترنتی کرد. افزودن WooCommerce به وردپرس این امکان را می دهد که بتوان محصولات خود را در سایت اینترنتی وردپرسی به فروش رساند.
با سوءاستفاده از این آسیبپذیری مهاجم میتواند بدون احراز هویت شدن فایل دلخواه را بر روی سرور قرار دهد. این آسیبپذیری دارای بردار حمله CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H میباشد و بهرهبرداری از آن از طریق شبکه خارجی و از راه دور امکانپذیر است (AV:N). سوءاستفاده از این آسیبپذیری نیازمند هیچ پیشزمینهای نبوده و بهراحتی قابل تکرار است و نیازی به شرایط خاص نیست (AC:L). برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نبوده (PR:N) و همچنین به تعامل با کاربر نیاز نیست(UI:N). سوءاستفاده از آسیبپذیری بر منابع مدیریتشده توسط سایر مراجع امنیتی تأثیر نمیگذارد (S:U) و در بدترین شرایط، با سوءاستفاده از آن، هر سه ضلع امنیت به میزان بالا تحت تأثیر قرار میگیرند (C:H و I:H و A:H).
محصولات تحت تأثیر
افزونه سیستم مدیریت یادگیری وردپرس WooCommerce نسخه قبل از 18.0تحت تأثیر این آسیبپذیری قرار میگیرند.
توصیههای امنیتی
این آسیبپذیری در نسخه های بعد از 18.0 رفع شده است .
لذا به کاربران توصیه میشود در اسرع وقت از طریق مسیر زیر، نسبت به بهروزرسانی افزونه WooCommerce خود اقدام کنند:
منابع خبر
https://cert.ir/node/4794
CVE-2021-3120 این آسیبپذیری در پلاگین های YITH WooCommerce نسخه قبل از3.3.1 بر روی WordPress به مهاجمان اجازه اجرای کد از راه دور از طریق بارگذاری فایل دلخواه را میدهد. شدت آسیب پذیری :9.8 بحرانی لینک راهکار :https://yithemes.com/themes/plugins/yith-woocommerce-gift-cards/
مقدمه آسیبپذیری با شدت بحرانی درمحصولات شرکت IBM (IBM Aspera Cargo 4.2.5 Manager و IBM Aspera Connect 4.2.5) شناسایی شده است که شرایط سرریز بافر و اجرای کد دلخواه را توسط مهاجم فراهم می سازد . جزئیات آسیبپذیری در نرمافزار IBM Aspera Cargo 4.2.5 Manager و IBM Aspera Connect4.2.5 اعمال ورودی ناشناخته منجر به آسیبپذیری […]
CVE-2022-31610, CVE-2022-31617, CVE-2022-31608, CVE-2022-31607, CVE-2022-31606 یک نقص فنی در درایور کارت گرافیک NVIDIA برای Windows و Linux در لایه کرنل ( nvlddmkm.sys و nvidia.ko ) است, که امکان خواندن و نوشتن خارج از محدوده را برای مهاجم فراهم میسازد که منجر به اجرای کد , انکار سرویس , افزایش امتیازات , افشا اطلاعات و دستکاری […]
دیدگاهتان را بنویسید