[Eramserver]

سلام.
آسیب پذیری Sql Injection در WordPress 4.2.3

WordPress 4.2.3 and earlier SQL Injection Vulnerability

روز گذشته آسیب پذیری جدید از وردپرس نسخه 4.2.3 توسط محقق امنیتی به نام ocean90 کشف و اکسپلویت شد آسیب
پذیری جدید به گزارش وب سایت امنیتی cxsecurity در فولدر wp-includes وردپرس و فایل post.php ورژن 4.2.3 وردپرس میباشد.

نفوذگر با استفاده از حملات Sql Injection میتواند اقدام به نفوذ به دیتابیس سایت وردپرسی کند و کنترل وب سایت را به دست بگیرد در هفته گذشته هم آسیب پذیری Cross Site Request Forgery در وردپرس 3.8.1, 3.8.2, و 4.2.2 کشف شد و تیم مدیریت وردپرس اقدام به ارائه ورژن 4.2.3 مدیریت محتوای وردپرس نمود که بعد از مدت کوتاهی آسیب پذیری Sql Injection به ثبت رسید.

آسیب پذیری Sql Injection در ورژن 4.1 وردپرس همانند ورژن 4.2.3 در دیگر فایل های هسته وردپرس توسط محقیقین امنیتی کشف شد.

در حال حاضر وردپرس اقدام به ارائه اپدیت جدید کرده و باید هرچه سریع تر بروزرسانی کنید.

با استفاده از آسیب پذیری Cross Site Request Forgery میتوان با ارسال دستورات html در قسمت دیدگاه های وردپرس اقدام به اجرای دستورات جعلی نمود و مدیریت سایت وردپرسی را در دست گرفت

کد:

<form method=\"POST\" action=\"http://localhost/wp-comments-post.php\">
 <input type=\"text\" name=\"comment_post_ID\" value=\"1\">
 <input type=\"text\" name=\"comment\" value=\"UH OH\">
 <input type=\"submit\">
</form>

1. http://cxsecurity.com/issue/WLB-2015080039
   
2. https://packetstormsecurity.com/files/132972/WordPress-3.8.1-3.8.2-4.2.2-Cross-Site-Request-Forgery.html
   
3. https://packetstormsecurity.com/files/132972/WordPress-3.8.1-3.8.2-4.2.2-Cross-Site-Request-Forgery.html
   

    من به این مشکل دچار شدم و به ویسایتم نفوذ شد. هرچه زود تر بروزرسانی کنید به 4.2.4