জনপ্রিয় ওয়ার্ডপ্রেস প্লাগইন "Ultimate Addons for Elementor" এবং "Ultimate Addons for Beaver Builder"-এ ক্রিটিক্যাল দুর্বলতা পাওয়া গেছে। Brainstorm Force টিম দ্বারা ডেভেলপড, Ultimate Addons প্লাগইনগুলো ওয়ার্ডপ্রেস সাইট মালিকদের এলিমেন্টর এবং Beaver Builder-এর মতো জনপ্রিয় পেজ বিল্ডারগুলোর জন্য অতিরিক্ত উইজেট/ফাংশনালিটি ব্যবহার করতে দেয়।
Ultimate Addons তার ওয়েবসাইটে 듬직한 একটি এডভাইজরি রিলিজ করেছে দুর্বলতার প্যাচ সম্পর্কে, ব্যবহারকারীদের প্লাগইন আপডেট করার জন্য বলেছে। ইস্যুটি আরও আলোকিত করতে, আমরা দুর্বলতার ডিটেইলস খুঁজে বের করলাম যেটি হ্যাকের অনুমতি দিয়েছিল।
Brainstorm Force টিমকে তাদের চৌকসী জন্য প্রশংসা করা উচিত কারণ তারা ৭ ঘন্টার কম সময়ে দুর্বলতা প্যাচ করল!
প্যাচ করা ভার্সনগুলো হলো:
- 1.20.1 Ultimate addons for Elementor এর জন্য
- 1.24.1 ultimate addons for the Beaver builder-এর জন্য
আপনার প্লাগইনগুলো ইনস্টলড থাকলে, উপরে উল্লিখিত ভার্সন থেকে পুরনো ভার্সন থাকলে, দয়া করে অবিলম্বে প্লাগইনগুলো আপডেট করুন।
Ultimate Addons প্লাগইনগুলো হাজার হাজার সাইটে সক্রিয়ভাবে ইনস্টলড আছে। 게다가, দুর্বলতার প্রকৃতির কারণে, হ্যাকার যেকোনো ওয়ার্ডপ্রেস সাইটে অ্যাক্সেস পেতে পারে প্লাগইন ইনস্টলড থাকলে, যদি তাদের যেকোনো ইউজারের ইমেইল আইডি অ্যাক্সেস থাকে।
আমরা আপনাকে অবিলম্বে আপডেট করার জন্য অনুরোধ করছি।
দুর্বলতা মাইক্রোস্কোপের অধীনে
'Login Form' উইজেটের অধীনে Google এবং Facebook লগইন ফিচারে ব্রোকেন অথেন্টিকেশন এবং সেশন ম্যানেজমেন্ট দুর্বলতা ছিল। এই দুর্বলতা হ্যাকারদের কোনো ইউজারের পাসওয়ার্ড ছাড়া ওয়ার্ডপ্রেস অ্যাডমিন এলাকায় লগইন করতে দেয় যদি তারা ইউজারদের ইমেইল অ্যাড্রেস জানেন। এই মেথড ব্যবহার করে, ওয়ার্ডপ্রেসে অ্যাডমিনিস্ট্রেটরদের অ্যাকাউন্টেও লগইন করা সম্ভব।
অন্য ইনফরমেশন গ্যাদারিং টেকনিক ব্যবহার করে, অ্যাডমিনিস্ট্রেটরের ইমেইল অ্যাড্রেস বের করা সম্ভব এবং এই দুর্বলতা এক্সপ্লয়েট করা সম্ভব।
সম্পর্কিত গাইড – ওয়ার্ডপ্রেস হ্যাক রিমুভাল
একবার অ্যাডমিন অ্যাক্সেস পাওয়ার পর, হ্যাকার শক্তি ও কন্ট্রোল পাবে ওয়েবসাইটকে অনেকভাবে আরও এক্সপ্লয়েট করতে। 그중 সবচেয়ে গন্দা হলো ডিফেসমেন্ট, রিডাইরেকশন, স্প্যাম, ডেটা থেফট (আইডেন্টিটি থেফট + আর্থিক ডেটা থেফট), ম্যালিশিয়াস পপ-আপ, ডাটাবেস অ্যাক্সেস ইত্যাদি।
হ্যাকের টেকনিক্যাল ডিটেইলস
Google এবং Facebook লগইন মডিউলে দুর্বল ভ্যালিডেশনের কারণে, হ্যাকাররা Ultimate Addons প্লাগইন দ্বারা ব্যবহৃত wp-admin AJAX ফাংশন এক্সপ্লয়েট করতে পারে।
সোশ্যাল লগইন মডিউল ব্যবহার করা সাইটগুলোতে, আক্রমণকারী Google/Facebook-এ সফলভাবে লগইন অথরাইজ করার পর AJAX ফাংশনের রেসপন্স হিসেবে পাঠানো ইমেইল আইডি টেম্পার/মডিফাই করতে পারে। প্লাগইন ইউজারের ইমেইল আইডি ক্যাপচার করে এবং Google/Facebook-এ পাঠানো ডেটার প্রামাণিকতা যাচাই ছাড়া লগইন সম্পন্ন করে। কোড AJAX কল ভেরিফাই করে ওয়ার্ডপ্রেস দ্বারা সেট করা নন্স টোকেন চেক করে (CSRF টোকেনের মতো), দুর্ভাগ্যক্রমে এটি নির্ধারণ করার জন্য পর্যাপ্ত নয় যে Google এবং Facebook APIs একই ইমেইল আইডি রিটার্ন করেছে।
নিচের স্ক্রিনশটে দেখা যাচ্ছে, POST ডেটা সরাসরি ব্যবহার করা হচ্ছে ইউজার লগইন করার জন্য যাচাই ছাড়া। Google এবং Facebook OAuth-দ্বারা প্রদত্ত ডেটার প্রামাণিকতা যাচাই করার জন্য তাদের সার্ভিসে একটি ভেরিফিকেশন API কল করার পরামর্শ দেওয়া হয়।
আরো ডিটেইলস: https://developers.google.com/identity/sign-in/web/backend-auth
আপনি হ্যাক হয়েছেন? তাৎক্ষণিক সাহায্য পান
আপনি যদি ইতিমধ্যে হ্যাক হন, তবে আপনি দ্রুত আপনার সাইট রিস্টোর করতে পারেন আস্ট্রার দ্বারা তাৎক্ষণিক ম্যালওয়্যার ক্লিনআপ দিয়ে। আপনি যদি ইতিমধ্যে আস্ট্রা কাস্টমার হন, আমাদের ভার্চুয়াল প্যাচিং টেকনোলজি আপনাকে এই ধরণের দুর্বলতা থেকে রক্ষা করবে।
আমি কীভাবে নিশ্চিত করব যে আমি হ্যাক হয়েছি?
আপনি বুঝতে পারবেন আপনি হ্যাক হয়েছেন যদি আপনি নিচের موارد যেকোনোটি দেখেন:
- আপনার ওয়ার্ডপ্রেস অ্যাডমিন এলাকায় নতুন অ্যাডমিন ইউজার তৈরি হয়েছে
- আপনার ওয়েবসাইট ম্যালিশিয়াল সাইটে রিডাইরেক্ট হচ্ছে
- আপনার সার্ভার থেকে স্প্যাম/ফিশিং ইমেইল পাঠানো হচ্ছে
- ভিজিটররা আপনার ওয়েবসাইট খোলার সময় ম্যালিশিয়াল পপ-আপ দেখছে
- গুগল দ্বারা ওয়েবসাইট ভিজিটরদের একটি লাল সতর্কতা পেজ দেখানো হচ্ছে
আপনি যদি উপরের লিস্টে নেই এমন কোনো লক্ষণ লক্ষ্য করেন, তবে হ্যাকিং সাইনগুলোর সম্পূর্ণ তালিকার জন্য রেফার করতে পারেন।
আপনি কী করতে পারেন?
আপনি যদি আপনার ওয়ার্ডপ্রেস ওয়েবসাইটের রেগুলার মেইনটেনার হন, এবং হ্যাক ফিক্স ও সিকিউর করার চেষ্টা করতে চান পুনরাবৃত্তি থেকে, তবে আপনাকে:
- দুর্বল প্লাগইন, ওয়ার্ডপ্রেস কোর, অন্যান্য প্লাগইন আপডেট করুন
- আপনার ওয়েবসাইট অ্যাডমিন অডিট করুন এবং দেখুন কোনো নতুন অ্যাডমিন অ্যাকাউন্ট যোগ করা হয়েছে কিনা। একবার হ্যাকাররা অ্যাডমিন অ্যাক্সেস পেলে, তারা নতুন অ্যাডমিন ইউজার তৈরি করতে পারে ভাল্নারেবিলিটি ফিক্স হওয়ার পরেও সাইটে অ্যাক্সেস রিটেইন করতে।
- FTP/SFTP বা cPanel-এ File Manager মডিউল ব্যবহার করে আপনার সার্ভারে লগইন করুন, এবং সাইটের রুটে অজানা ফাইল নাম খুঁজুন। এক্সপ্লয়েট করা ওয়েবসাইটগুলোতে নিচের ফাইলগুলো পাওয়া গেছে: tmp.zip, wp-xmlrpc.php, adminer.php
- আপনার ওয়ার্ডপ্রেস অ্যাডমিন এলাকায় টু-ফ্যাক্টর অথেন্টিকেশন (2FA) সক্রিয় করুন
- wp-admin এলাকায় IP রেস্ট্রিকশন সক্রিয় করুন, যাতে শুধু হোয়াইটলিস্টেড IP প্যানেল অ্যাক্সেস করতে পারে।
সম্পর্কিত: দ কমপ্লিট ওয়ার্ডপ্রেস ম্যালওয়্যার রিমুভাল গাইড
আপডেট করার সঠিক পদ্ধতি
Ultimate Addons for Elementor কীভাবে আপডেট করবেন?
Ultimate Addons for Elementor (বা UAE যেন তারা বলে) আপডেট করতে, এই ধাপগুলো অনুসরণ করুন:
- লেটেস্ট ভার্সন এখান থেকে ডাউনলোড করুন।
- পূর্বে ইনস্টল করা ভার্সনটি ডিলিট করুন। চিন্তা করবেন না, কোনো ডেটা লস হবে না।
- উপরে থেকে ডাউনলোড করা জিপ ফাইল আপনার WP-admin-এ নতুন প্লাগইন হিসেবে আপলোড করুন
- ইনস্টল এবং এক্টিভেট করুন।
এবং, আপনি সব সেট।
Ultimate Addons for Beaver Builder কীভাবে আপডেট করবেন?
Ultimate Addons for Beaver Builder (বা UABB যেন তারা বলে) আপডেট করতে, এই ধাপগুলো অনুসরণ করুন:
- লেটেস্ট ভার্সন এখান থেকে ডাউনলোড করুন।
- পূর্বে ইনস্টল করা ভার্সনটি ডিলিট করুন। চিন্তা করবেন না, কোনো ডেটা লস হবে না।
- উপরে থেকে ডাউনলোড করা জিপ ফাইল আপনার WP-admin-এ নতুন প্লাগইন হিসেবে আপলোড করুন
- ইনস্টল এবং এক্টিভেট করুন।
এবং, আপনি সব সেট।
আপনার ওয়েবসাইট আস্ট্রা দিয়ে সুরক্ষিত করুন
ফু! আপনি হ্যাক হয়নি। কিন্তু আপনার ওয়েবসাইট সিকিউরিটি ভাগ্যের হাতে ছেড়ে দেবেন না। আপনার ওয়েবসাইট সুরক্ষিত না করা দীর্ঘমেয়াদে আপনাকে খরচ করতে হবে। হ্যাকারদের দয়া থেকে থাকবেন না, আপনার ওয়েবসাইটের ভালোবাসার কapy আপনার হাতে রাখুন।
একটি বিশ্বস্ত সিকিউরিটি সমাধান বেছে নিন এবং আপনার ওয়েবসাইটে যথাযথ সিকিউরিটি ও প্রোটেকশন লিভারেজ করুন।
কোনো প্রশ্ন আছে? নিচে কমেন্ট করুন বা একটি সিকিউরিটি এক্সপার্টের সাথে যোগাযোগ করুন, আমরা খুশি হব সাহায্য করতে 🙂
