জনপ্রিয় ওয়ার্ডপ্রেস প্লাগইন—অ্যাডভান্সড কন্ট্যাক্ট ফর্ম ৭ ডিবি (Advanced Contact Form 7 DB)-এ একটি খুব গভীর SQLi ভালনারেবিলিটিكشف করা হয়েছে, যার ৪০,০০০+ এক্টিভ ইনস্টলেশন আছে। কন্ট্যাক্ট ফর্ম ৭ ভালনারেবিলিটি প্রথম ২৬ মার্চে রিপোর্ট করা হয়েছিল এবং নতুন প্যাচ করা ভার্সন ১.৬.১ দুদিন আগে ১০ اپ্রিলে লাইভ করা হয়েছে। যদিও প্যাচ করা ভার্সন এসেছে, বর্তমান ব্যবহারকারীদের এখনও চিন্তার কারণ আছে কারণ এই ভালনারেবিলিটি একজন সাবস্ক্রাইবারের অ্যাকাউন্ট থাকলেও এক্সপ্লয়েট করা সম্ভব।
ঝুঁকির স্ট্যাটাস- অ্যাডভান্সড কন্ট্যাক্ট ফর্ম ৭ ভালনারেবিলিটি
এই ভালনারেবিলিটির সাথে জুড়ে ঝুঁকিগুলো ক্রিটিক্যাল ক্যাটাগরিতে রাখা যায় কারণ এটি দুর্নীতিশীলদের দ্বারা আরও এক্সপ্লয়েট করা যেতে পারে। এই ভালনারেবিলিটি হ্যাকারদের জন্য ডেটাবেসে ম্যালিশিয়াস কোড ইনসার্ট করতে এবং মূল্যবান ডেটা অ্যাক্সেস করার জন্য ফ্রি এন্ট্র পয়েন্টের মতো কাজ করতে পারে।
সংক্ষেপে, এইগুলো ভুল হতে পারে:
- দুর্বudis আক্রমণকারী ডেটাবেসে ম্যালিশিয়াস কন্টেন্ট ইনসার্ট করতে পারে
- হ্যাকাররা সংবেদনশীল ডেটা লিক করতে পারে
- এটি একটি কোম্প্রোমাইজড ওয়ার্ডপ্রেস ইনস্টলেশনের দিকে নিয়ে যেতে পারে
প্লাগইন ডেভেলপাররা দ্রুত প্যাচ করা ভার্সন লঞ্চ করেছেন। ফলে, ওয়ার্ডপ্রেস প্লাগইনটি সাসপেন্ড করেনি যেমন সে দুইদিন আগে ইউজো রিলেটেড পোস্টস (Yuzo Related Posts) প্লাগইনের সাথে করেছিল। অ্যাডভান্সড কন্ট্যাক্ট ফর্ম ৭ ডিবি এখনও নতুন ইনস্টলেশনের জন্য উপলব্ধ। যখন আমি ওয়ার্ডপ্রেস প্লাগইন ডিরেক্টরিতে অ্যাডভান্সড কন্ট্যাক্ট ফর্ম ৭ ডিবি খুঁজলাম, তখন এটি পেলাম।
ওয়ার্ডপ্রেস সিকিউরিটি নিয়ে চিন্তিত? অস্ত্রা ওয়েবসাইট সিকিউরিটি দেখুন অথবা চ্যাট উইজেটে মেসেজ ড্রপ করুন, আমরা সাহায্য করতে খুশি হব। আমার ওয়ার্ডপ্রেস ওয়েবসাইট এখনই ফিক্স করুন।
বিস্তারিত- অ্যাডভান্সড কন্ট্যাক্ট ফর্ম ৭ ভালনারেবিলিটি
ওয়ার্ডপ্রেসে মূলত wp-ajax-parse-media-shortcode নামে একটি সুবিধা আছে কোড লেখকদের জন্য যাতে তারা লং কোডের বদলে শর্টকোড ব্যবহার করতে পারে। এই সুবিধাটি ব্যবহার করে প্লাগইন ডেভেলপাররা acf7db শর্টকোড ডিফাইন করেছেন public/class-advanced-cf7-db-public.php ফাইলে।
এছাড়া, প্লাগইন ডেভেলপাররা আরেকটি গুরুত্বপূর্ণ ডিটেইল উপেক্ষা করেছেন wpdb::prepare। wpdb::prepare SQL কোয়েরি স্যানিটাইজ করতে ব্যবহৃত হয় যাতে শুধু বৈধ এবং আথেন্টিক কোয়েরি চলে। কোড লেখকরা wpdb->get_results() ব্যবহার করেছেন wpdb::prepare-এর বদলে, যা কোয়েরি ইনসারশনের জন্য নিরাপদ পদ্ধতি নয়। আক্রান্ত কোডগুলো নিচের ছবিতে দেখানো হলো:
$fid ফলস্বরূপে ম্যালিশিয়াস কোড কোয়েরি হিসেবে নিতে পারে এবং গুরুতর দুর্ঘটনার দিকে নিয়ে যেতে পারে। তবে, এখানে ঘোষণা করা দরকার যে এখনো কোনো এক্সপ্লয়েটেশন রিপোর্ট করা হয়নি। এটি শুধু একটি সতর্কতামূলক ব্যবস্থা হিসেবে ব্যবহারকারীদের আগামুখে সতর্ক করার জন্য।
প্রয়োজনীয় কর্ম
এই প্লাগইনটি যত দ্রুত সম্ভব আপডেট করুন যাতে আপনার ওয়েবসাইটের কাছে যেকোনো হুমকি না আসে। তারপর থিম আপডেট করুন এবং পাসওয়ার্ড রিসেট করুন। এই ভালনারেবিলিটির এক্সপ্লয়েটেশন সংবেদনশীল ও গোপনীয় ডেটা আক্রমণকারীর কাছে লিক করতে পারে।
আপনার ওয়েবসাইটকে ऐसे অনেক সম্ভাব্য আক্রমণ থেকে রক্ষা করতে আপনি অস্ত্রার (Astra) ম্যালওয়ার স্ক্যানার ব্যবহার করতে পারেন যা মাসিক মাত্র ১৯ ডলার। এছাড়া, আমাদের VAPT (ভালনারেবিলিটি অ্যাসেসমেন্ট অ্যান্ড পেনিট্রেশন টেস্টিং) অফারিং-এ আমাদের ইঞ্জিনিয়াররা আপনার ওয়েবসাইটে গভীরে স্ক্যান করে সব সম্ভাব্য ভালনারেবিলিটি খুঁজে বের করে এবং মেনে দেয়।
এখনই অস্ত্রা ডেমো নিন!
