يمكن استغلال ثغرة أمنية خطيرة في المكون الإضافي WPvivid Backup & Migration لـ WordPress، المثبت على أكثر من 900000 موقع ويب، لتنفيذ تعليمات برمجية عن بُعد عن طريق تحميل ملفات عشوائية دون مصادقة.
تم تتبع المشكلة الأمنية على أنها CVE-2026-1357 وحصلت على درجة خطورة تبلغ 9.8. إنه يؤثر على جميع إصدارات البرنامج الإضافي حتى 0.9.123 ويمكن أن يؤدي إلى الاستيلاء الكامل على موقع الويب.
على الرغم من خطورة المشكلة، يقول الباحثون في شركة Defiant للأمان في WordPress أن المواقع التي تم تمكين خيار “تلقي النسخ الاحتياطي من موقع آخر” غير الافتراضي هي فقط التي تتأثر بشكل خطير.
“https://www.bleepstatic.com/c/w/GitLab-970×250.png” البديل=”Wiz”>
علاوة على ذلك، يمتلك المهاجمون نافذة استغلال على مدار 24 ساعة، وهي صلاحية المفتاح الذي تم إنشاؤه والذي تطلبه المواقع الأخرى لإرسال ملفات النسخ الاحتياطي.
يحد هذا الشرط من التعرض الواقعي؛ ومع ذلك، البرنامج المساعد”https://wordpress.org/plugins/wpvivid-backuprestore/#description” الهدف=”_blank” rel=”nofollow noopener”> شائعة الاستخدام لعمليات ترحيل الموقع وعمليات النقل الاحتياطية بين المضيفين، لذلك من المحتمل جدًا أن يقوم مسؤولو موقع الويب بتمكين هذه الميزة في مرحلة ما، على الأقل مؤقتًا.
أبلغ الباحث Lucas Montes (NiRoX) عن الثغرة الأمنية لـ Defiant في 12 يناير. السبب الجذري هو معالجة الأخطاء بشكل غير صحيح في فك تشفير RSA، بالإضافة إلى نقص تعقيم المسار.
على وجه التحديد، عندما “يفتحsl_private_decrypt()“فشلت الوظيفة، ولا يوقف البرنامج المساعد التنفيذ وبدلاً من ذلك يقوم بتمرير النتيجة الفاشلة (خطأ) إلى روتين AES (Rijndael).
تتعامل مكتبة التشفير مع هذا على أنه سلسلة من البايتات الفارغة، مما يؤدي إلى إنشاء مفتاح تشفير يمكن التنبؤ به يمكن للمهاجم استخدامه لصياغة حمولات ضارة يقبلها البرنامج الإضافي.
بالإضافة إلى ذلك، فشل المكون الإضافي في تنظيف أسماء الملفات التي تم تحميلها بشكل صحيح، مما يسمح باجتياز الدليل. يسمح هذا بكتابة الملفات خارج دليل النسخ الاحتياطي المقصود وتحميل ملفات PHP الضارة لتنفيذ التعليمات البرمجية عن بعد.
أخطرت شركة Defiant البائع، WPVividPlugins، في 22 يناير، بعد التحقق من صحة ثغرة إثبات المفهوم المقدمة. عنوان التحديث الأمني”https://nvd.nist.gov/vuln/detail/CVE-2026-1357″ الهدف=”_blank” rel=”nofollow noopener”>CVE-2026-1357 تم إصداره في الإصدار 0.9.124 في 28 يناير.
يتضمن الإصلاح إضافة علامة اختيار لإيقاف التنفيذ في حالة فشل فك تشفير RSA، وإضافة تنقية اسم الملف، وتقييد التحميلات لأنواع ملفات النسخ الاحتياطي المسموح بها فقط، مثل ZIP، وGZ، وTAR، وSQL.
يجب أن يكون مستخدمو البرنامج الإضافي WPvivid Backup & Migration WordPress على دراية بالمخاطر المرتبطة بالثغرة الأمنية والترقية إلى الإصدار 0.9.124 في أقرب وقت ممكن.
“https://www.bleepstatic.com/c/t/tines-in-art-square.jpg” البديل=”tines”>
مستقبل البنية التحتية لتكنولوجيا المعلومات هنا
تتحرك البنية التحتية الحديثة لتكنولوجيا المعلومات بشكل أسرع مما يمكن لسير العمل اليدوي التعامل معه.
في دليل Tines الجديد هذا، تعرف على كيف يمكن لفريقك تقليل التأخيرات اليدوية المخفية، وتحسين الموثوقية من خلال الاستجابة الآلية، وإنشاء مسارات عمل ذكية وتوسيع نطاقها بالإضافة إلى الأدوات التي تستخدمها بالفعل.