کمیته رکن چهارم – مهاجمان سایبری در حال سوءاستفاده فعال از یک آسیبپذیری بحرانی در افزونه Kirki وردپرس هستند؛ نقصی که امکان تصاحب حسابهای کاربری، از جمله حسابهای مدیر سایت، را بدون نیاز به احراز هویت فراهم میکند.
به گزارش کمیته رکن چهارم، این آسیبپذیری با شناسه CVE-2026-8206 در افزونه Kirki – Freeform Page Builder, Website Builder & Customizer شناسایی شده است. افزونه مذکور یکی از ابزارهای پرکاربرد ساخت صفحات و سفارشیسازی قالبهای وردپرس محسوب میشود و روی بیش از ۵۰۰ هزار وبسایت فعال است.
شرکت امنیتی Defiant، توسعهدهنده فایروال Wordfence، اعلام کرده تنها در یک بازه ۲۴ ساعته بیش از ۲۲۲ تلاش برای سوءاستفاده از این آسیبپذیری را مسدود کرده است. بررسیها نشان میدهد این نقص امنیتی از نسخه ۶٫۰٫۰ افزونه وجود داشته و تمامی نسخههای تا ۶٫۰٫۶ را تحت تأثیر قرار داده است. همچنین نزدیک به ۴۰ درصد کاربران این افزونه همچنان از نسخههای آسیبپذیر استفاده میکنند.
این نقص به دلیل وجود یک endpoint ناامن در REST API مربوط به قابلیت بازنشانی گذرواژه ایجاد شده است. مهاجم میتواند با وارد کردن نام کاربری قربانی و ثبت یک آدرس ایمیل دلخواه، لینک بازنشانی رمز عبور را به آدرس ایمیل خود دریافت کند. در نتیجه بدون نیاز به دانستن گذرواژه یا عبور از فرآیند احراز هویت، امکان تغییر رمز عبور و تصاحب کامل حساب کاربری فراهم میشود.
در صورت تصاحب یک حساب مدیریتی، مهاجم قادر خواهد بود افزونههای مخرب نصب کند، محتوای وبسایت را تغییر دهد، درِ پشتی یا وبشل مستقر کند، به اطلاعات پایگاه داده دسترسی پیدا کند و حتی بازدیدکنندگان سایت را به صفحات فیشینگ یا بدافزار هدایت کند.
این آسیبپذیری توسط پژوهشگر امنیتی CHOIGYENGMIN کشف و به Wordfence گزارش شد. پس از هماهنگی با توسعهدهندگان افزونه، نسخه اصلاحشده ۶٫۰٫۷ در ۲۸ اردیبهشت ۱۴۰۵ منتشر شد تا مشکل برطرف شود.
با توجه به انتشار عمومی جزئیات فنی و آغاز سوءاستفادههای فعال، مدیران وبسایتهای وردپرسی باید در اسرع وقت افزونه Kirki را به نسخه ۶٫۰٫۷ یا بالاتر ارتقا دهند. در صورت عدم امکان بهروزرسانی فوری، غیرفعالسازی افزونه بهعنوان یک راهکار موقت توصیه شده است.
همچنین بررسی لاگهای مربوط به بازنشانی گذرواژه، تغییرات حسابهای مدیریتی، ایجاد کاربران جدید و نصب افزونهها میتواند به شناسایی هرگونه فعالیت مشکوک و نفوذ احتمالی کمک کند.
منبع: BleepingComputer
