بازیگران مخرب در حال سوءاستفاده از یک آسیب‌پذیری بحرانی در افزونه Hunk Companion وردپرس هستند تا افزونه‌های آسیب‌پذیر دیگری را نصب کنند که می‌تواند راه را برای انواع حملات باز کند.
این نقص که با کد CVE-2024-11972 (امتیاز CVSS: 9.8) شناسایی شده است، تمامی نسخه‌های افزونه قبل از 1.9.0 را تحت تأثیر قرار می‌دهد. این افزونه بیش از ۱۰,۰۰۰ نصب فعال دارد.
به گفته گزارش WPScan، “این نقص خطر امنیتی جدی ایجاد می‌کند، زیرا به مهاجمان امکان نصب افزونه‌های آسیب‌پذیر یا غیرفعال‌شده را می‌دهد. این افزونه‌ها می‌توانند برای حملاتی مانند اجرای کد از راه دور (RCE)، تزریق SQL،XSS یا حتی ایجاد درهای پشتی مورد سوءاستفاده قرار گیرند.”
وضعیت بدتر می‌شود زمانی که مهاجمان از افزونه‌های قدیمی برای دور زدن تدابیر امنیتی، دستکاری سوابق پایگاه داده، اجرای اسکریپت‌های مخرب و کنترل کامل سایت‌ها استفاده می‌کنند.
WPScan این نقص امنیتی را هنگام تحلیل یک سایت وردپرس آلوده کشف کرد و دریافت که مهاجمان از این آسیب‌پذیری برای نصب افزونه‌ای به‌نام WP Query Console (که دیگر فعال نیست) سوءاستفاده کرده‌اند و سپس از یک نقص اجرای کد از راه دور (RCE) در افزونه نصب‌شده برای اجرای کد مخرب PHP بهره برده‌اند.
قابل ذکر است که آسیب‌پذیری روز صفر RCE در WP Query Console، با کد CVE-2024-50498 (امتیاز CVSS: 10.0)، همچنان بدون وصله باقی مانده است.
ریشه این مشکل از یک باگ در اسکریپت “hunk-companion/import/app/app.php” ناشی می‌شود که به درخواست‌های غیرمعتبر اجازه می‌دهد بررسی‌های مربوط به تأیید دسترسی کاربر به نصب افزونه‌ها را دور بزنند.
دنیل رودریگز از WPScan می‌گوید: “آنچه این حمله را بسیار خطرناک می‌کند، ترکیب عوامل مختلف است؛ از جمله استفاده از یک آسیب‌پذیری پیش‌تر وصله‌شده در Hunk Companion برای نصب یک افزونه حذف‌شده با نقص شناخته‌شده اجرای کد از راه دور.”
در همین حال، Wordfence یک نقص با شدت بالا در افزونه WPForms را فاش کرده است (کد CVE-2024-11205، امتیاز CVSS: 8.5) که به مهاجمان احراز هویت‌شده با سطح دسترسی Subscriber و بالاتر اجازه می‌دهد پرداخت‌های Stripe را بازپرداخت کرده و اشتراک‌ها را لغو کنند.
این آسیب‌پذیری که نسخه‌های 1.8.4 تا 1.9.2.1 را تحت تأثیر قرار می‌دهد، در نسخه‌های 1.9.2.2 و بالاتر رفع شده است. این افزونه در بیش از ۶ میلیون سایت وردپرس نصب شده است.
منبع: https://thehackernews.com/2024/12/wordpress-hunk-companion-plugin-flaw.html
