WordPress, ১ बिलিয়ন سے বেশি ওয়েবসাইট চালু করে এমন জাগার্নাট CMS, সবচেয়ে ملحوظة Techcrunch, The New Yorker, Sony, এবং MTV-এর মধ্যে, ওয়েবসাইট সিকিউরিটির ক্ষেত্রে ভালনারেবিলিটি থেকে বঞ্চিত নয়। সাম্প্রতিকভাবে, এর সবচেয়ে জনপ্রিয় প্লাগইনগুলোর একটি, WP Statistics, ত্রুটিপূর্ণ বলে ধরা পড়েছে, ফলে প্রায় ৩০০,০০০ ওয়েবসাইট আট্যাকারদের দ্বারা এক্সপ্লويت হওয়ার জন্য খোলা রয়েছে।
WP Statistics প্লাগইনটি সম্প্রতি SQL Injection ফ্লAws দ্বারা আক্রান্ত বলে আবিষ্কৃত হয়েছে। এর মাধ্যমে একটি রিমোট আট্যাকার, সাবস্ক্রাইবার অ্যাকাউন্ট থাকলেই, ওয়েবসাইটের ডেটাবেস থেকে সেনসিটিভ ইনফরমেশন চুরি করতে পারে এবং সম্ভবত ওয়েবসাইটে অনঅথরাইজড অ্যাক্সেস পেতে পারে। ভালনারেবিলিটি 'সিভিয়ার' হিসেবে টার্ম করা হয়েছে।
টেকনিক্যাল ডিটেইলস
SQL Injection হলো একটি ওয়েব অ্যাপ্লিকেশন ম্যালপ্র্যাকটিস যেখানে হ্যাকাররা স্ট্রাকচারড কোয়েরি ল্যাঙ্গুয়েজ (SQL) কোড ইউজার ইনপুটে ইনজেক্ট করে একমাত্র উদ্দেশ্যে ডেটাবেস কন্টেন্ট চুরি করতে। ভালনারেবিলিটি WP Statistics প্লাগইনের একাধিক ফাংশনে রয়েছে যার মধ্যে wp_statistics_searchengine_query() রয়েছে।
উপরোক্ত শর্টকোড কল করলেই অ্যাডমিন ইউজাররা ভিজিট সংখ্যার বিস্তারিত ইনফরমেশন পেতে পারে। শর্টকোডের কিছু অ্যাট্রিবিউট গুরুত্বপূর্ণ ফাংশনগুলোর প্যারামিটার হিসেবে পাস করা হয়, তাই এই ফাংশনগুলোর ইনপুট স্যানিটাইজ করা অত্যন্ত জরুরি। কিন্তু বিপরীতভাবে, ফাংশন wp_statistics_searchengine_query() WordPress-এর AJAX ফাংশনালিটির মাধ্যমে অ্যাকসেসযোগ্য কারন কোর ফাংশন wp_ajax_parse_media_shortcode()।
সমস্যাটি হলো সফ্টওয়্যারটি একবার ফর্ম কোয়েরিতে ইনসার্ট হওয়ার পর ডেটা সঠিকভাবে স্যানিটাইজ করতে অক্ষম। WordPress ডেভেলপারদের কন্টেন্ট তৈরি করতে দেয় যেটি শর্টকোড ব্যবহার করে পেজে ইনজেক্ট করা যায়। এটি WP Statistics শর্টকোডের সাথে সমস্যা তৈরি করে:
[shortcode atts_1=”test” atts_2=”test”]
অবিলম্বে আপডেট করুন
প্লাগইনগুলো WordPress-ভিত্তিক ওয়েবসাইটগুলোর জন্য ফাংশনালিটির একটি বড় পরিমাণ প্রদান করে। এমন ভালনারেবিলিটি একটি বড় ইস্যুর প্রতীক। ফাস্ট রিলিজ এবং ফাংশনালিটি প্রথমে মার্কেটে আনার চেষ্টায়, সিকিউরিটি অ্যাসপেক্ট অফটে ট্রেড-অফ হয়ে যায়। WordPress সিকিউরিটি আজ একটি গুরতর ইস্যু।
একমাত্র সমাধান হলো অবিলম্বে লেটেস্ট ভার্সনে আপডেট করা। আপনার WordPress ওয়েবসাইট সিকিউর করতে এবং সম্ভাব্য হুমকি অডিট করতে, Astra WordPress Security দেখুন।
