یک آسیبپذیری خطرناک از نوع SQL Injection در پلاگین محبوب Ally وردپرس شناسایی شده و هزاران سایت را در معرض سرقت داده قرار داده است. با وجود انتشار پچ امنیتی برای این پلاگین، بیشتر نصبها هنوز نسخه آسیبپذیر را اجرا میکنند و همچنان امکان اکسپلویت از راه دور (Remote Exploit) وجود دارد.
منشأ آسیبپذیری و نحوه اکسپلویت از پلاگین Ally
طبق گزارش محققان Wordfence، آسیبپذیری ثبتشده با شناسه CVE-2026-2413 در نحوه پردازش پارامترهای URL توسط پلاگین Ally ایجاد شده است. این پلاگین به دلیل عدم بررسی و فیلتر مناسب ورودی کاربر، امکان تزریق مستقیم کد SQL مخرب را به کوئریهای پایگاه داده میدهد.
در چنین شرایطی، مهاجم میتواند با ارسال URL خاص، کوئریهای غیرمجاز SQL را اجرا کند. مهاجمان معمولاً از متد Blind Time-Based SQL Injection استفاده میکنند تا با تحلیل تأخیر پاسخ سرور، بهصورت تدریجی دادههای حساس پایگاه داده را استخراج کنند.
تأثیرات احتمالی آسیبپذیری و دادههای در معرض ریسک
به گفته Wordfence، اطلاعات قابل دسترسی از طریق این اکسپلویت شامل حسابهای مدیر، آدرسهای ایمیل، هشهای رمز عبور و سایر رکوردهای حساس ذخیرهشده در پایگاه داده است.
طبق گزارش یعقوب رحیموف، مدیرعامل Polygraf AI، این ضعف یکی از قدیمیترین اشتباهات توسعه وب است: «SQL Injection از چند دهه پیش شناخته شده، اما همچنان تکرار میشود زیرا توسعهدهندگان بدون استفاده از پارامترهای ایمن، ورودی کاربر را مستقیماً در کوئری قرار میدهند.»
به گفته رحیموف، وردپرس ابزار داخلی پیشگیری از این ضعف یعنی تابع wpdb prepare() را دارد اما از آن در پلاگین Ally استفاده نشده است.
جزئیات نسخه امن Ally و میزان ریسک فعلی
توسعهدهندگان پلاگین Ally در تاریخ 23 فوریه با انتشار نسخه 4.1.0 این آسیبپذیری را پچ کردند. با این حال، طبق تحلیل و بررسی Wordfence، تا تاریخ 11 مارس حدود 60 درصد از نصبها همچنان نسخه آسیبپذیر را اجرا میکنند، یعنی بیش از 200 هزار وبسایت همچنان آسیبپذیر هستند.
رحیموف هشدار میدهد:
«این حمله نیازی به احراز هویت ندارد؛ فقط یک URL مخرب کافی است. فرآیند اکسپلویت را میتوان با ابزارهای SQL Injection شناختهشده بهراحتی خودکارسازی کرد.»
از آنجا که حمله اجرای کد از راه دور(RCE) بدون ورود و با اجرای خودکار قابل انجام است، این ضعف به هدفی جذاب برای حملات در مقیاس گسترده تبدیل شده است.
راهکار فوری برای مدیران وبسایتهای وردپرس
مدیران سایتهای وردپرس که از پلاگین Ally استفاده میکنند باید بلافاصله نسخه 4.1.0 یا بالاتر را نصب کنند. این نسخه نحوه اجرای کوئریهای پایگاه داده را اصلاح کرده و در برابر SQL Injection ایمن است.
رحیموف توصیه میکند سازمانها علاوه بر بهروزرسانی، پایگاه داده وردپرس خود را بررسی کنند تا از نوع دادههای ذخیرهشده و سطح دسترسی آنها آگاهی یابند. وی تأکید میکند:
«اگر سازمانی هنوز از نسخه آسیبپذیر استفاده میکند، باید فرض کند دادههای موجود ممکن است در معرض دسترسی غیرمجاز قرار گرفته باشند.»
تا زمانی که درصد بالایی از سایتها نسخههای قدیمی را اجرا کنند، ریسک حملات گسترده و افشای دادههای حساس پابرجاست؛ موضوعی که نشان میدهد تأخیر در نصب پچها همچنان مهمترین عامل بروز حملات سایبری است.
نتیجهگیری
آسیبپذیری SQL Injection در پلاگین Ally یادآور نیاز مداوم به رعایت اصول امنیت برنامهنویسی وب و انجام بهروزرسانیهای منظم است. توسعهدهندگان و مدیران وبسایتها باید سیاست پچ فوری را به بخشی از فرآیند امنیتی خود تبدیل کنند تا دادههای کاربران، قربانی اشتباهات تکراری نشود.
