شرط تصاحب حساب
افزونهٔ SSL Wireless SMS Notification برای WordPress در نسخه‌های تا 3.8.1، شامل این نسخه، دارای نقص احراز هویت است. طبق رکورد Wordfence، مهاجم ناشناس که شمارهٔ تلفن متصل به حساب را می‌داند می‌تواند حساب را تصاحب کند. مشکل در مرحلهٔ نهایی ورود قرار دارد: صدور نشست بدون تأیید صحیح رمز پیامکی و بدون بررسی وضعیت یک‌بارمصرف سمت سرور انجام می‌شود. دانستن شمارهٔ متصل، شرطی مهم است و نباید از توصیف حذف شود.
این موضوع با شنود پیامک یا تعویض سیم‌کارت یکسان نیست. در سناریوی ثبت‌شده، مسیر برنامه اعتبار لازم را از داده‌هایی می‌گیرد که به اثبات دریافت پیامک وابسته نیستند. بنابراین تغییر اپراتور پیامک یا افزودن هشدار هزینهٔ ارسال، نقص تأیید ورود را برطرف نمی‌کند. وجود پیامک ارسال‌شده نیز به تنهایی مدرک انجام احراز هویت موفق و معتبر نیست.
دامنهٔ نسخه و حساب‌ها
بازهٔ رسمی همهٔ نسخه‌ها تا 3.8.1 است و دادهٔ CNA مورد بررسی نسخهٔ اصلاح‌شده‌ای معرفی نمی‌کند. شمارهٔ افزونه را مستقیماً در نصب بررسی کنید و به شمارهٔ موجود در صفحهٔ کش‌شده یا فهرست قدیمی دارایی‌ها تکیه نکنید. ناشر در رکورد sslplugins است و نام افزونه باید دقیق تطبیق داده شود.
برای تشخیص دامنه، حساب‌هایی را شناسایی کنید که شمارهٔ تلفن آن‌ها به سازوکار ورود افزونه متصل است. همهٔ کاربران وردپرس لزوماً شرایط یکسان ندارند. اگر حساب ممتاز نیز از این روش استفاده می‌کند، پیامد محلی جدی‌تر می‌شود. شماره‌هایی که در تماس عمومی کسب‌وکار، اطلاعات سفارش یا سوابق پشتیبانی دیده می‌شوند ممکن است محرمانه نباشند؛ شمارهٔ تلفن نباید راز امنیتی فرض شود.
مهار بدون قفل‌شدن کاربران
پیشنهاد تحریریه، متوقف‌کردن روش ورود آسیب‌پذیر یا غیرفعال‌کردن افزونه تا دریافت اصلاح تأییدشده است. ابتدا مسیر ورود جایگزین و دسترسی مدیر مسئول را آزمایش کنید تا کاربران مجاز بی‌دلیل قفل نشوند. دربارهٔ تغییر روش ورود به کاربران راهنمای روشن بدهید و از درخواست ارسال رمز پیامکی به پشتیبانی خودداری کنید.
قواعد محدودیت نرخ می‌توانند حجم تلاش را کاهش دهند، اما جای بررسی رمز و مصرف یک‌بارهٔ آن را نمی‌گیرند. حتی یک درخواست موفق می‌تواند برای ایجاد نشست نامعتبر کافی باشد. همچنین تغییر شمارهٔ کاربر، بدون اصلاح منطق، راه‌حل عمومی و پایدار نیست. کنترل موقت باید با وضعیت روشن و زمان بازبینی در پرونده ثبت شود.
بررسی نشست‌ها و آزمون اصلاح
ورودهای غیرمعمول را با زمان ارسال پیامک، حساب هدف و تغییرات بعدی حساب تطبیق دهید. نبود پیامک دریافتی در گزارش کاربر می‌تواند سرنخ باشد، اما به تنهایی وقوع حمله را ثابت نمی‌کند. در صورت شواهد معتبر، نشست‌ها را باطل و تغییرات نقش، اطلاعات تماس و عملیات حساس را بررسی کنید. حفظ لاگ و زمان‌بندی رویدادها پیش از پاک‌سازی اهمیت دارد.
پس از دریافت نسخهٔ اصلاح‌شده از ناشر، آزمون باید تأیید رمز درست، رد رمز نادرست، انقضای رمز و عدم استفادهٔ مجدد را پوشش دهد. صرف تحویل پیامک آزمایشی کافی نیست. نتیجهٔ آزمون را برای حساب عادی و حساب دارای نقش حساس، بدون ایجاد خطر برای تولید، ثبت کنید. تا زمانی که مرجع اصلاح همان آسیب‌پذیری روشن نیست، برچسب «رفع‌شده» نزنید؛ وضعیت مهارشده و نیازمند پیگیری دقیق‌تر است.
امتیاز و منابع
امتیاز ثبت‌شدهٔ CNA برابر 8.1 در CVSS 3.1 است. منبع امتیاز: Wordfence. بردار رسمی: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. این امتیاز ادعای وقوع حمله یا حضور در فهرست KEV نیست.
- رکورد رسمی برنامهٔ CVE
- دادهٔ رسمی CNA؛ Wordfence
- مرجع اولیهٔ معرفی‌شده توسط CNA
- مرجع اولیهٔ معرفی‌شده توسط CNA
تصویر همراه تصویر رسمی معرفی SSL Wireless SMS Notification است و برای معرفی محصول یا سازنده استفاده می‌شود؛ تصویر حمله یا تأیید این گزارش توسط صاحب نشان نیست. بازبینی: ۲۹ اکتبر ۲۰۲۶.
