در تاریخ چهارشنبه ۱۴۰۰/۰۹/۱۷ چندین آسیب‌پذیری از محصولات وردپرس منتشر شده است. در این مطلب گفته شده که CVE-۲۰۲۱-۲۴۸۶۶ و CVE-۲۰۲۱-۲۴۹۳۱ در پلاگین‌های WordPress امکان حمله SQL Injection، XSS، CSRF و … را برای مهاجم فراهم می‌کند. در ادامه این موارد را بیشتر بررسی می‌کنیم.
افزونه WP Data Access WordPress قبل از نسخه 5.0.0 قبل از استفاده از دستور SQL به درستی پاکسازی نمی‌شود و از پارامتر backup_date پشتیبانی نمی‌کند که منجر به مشکل تزریق SQL شده و می‌تواند اجازه حذف دلخواه جدول را به فرد ناشناس بدهد. این مشکل در آپدیت ارائه شده برطرف شده است.
افزونه وردپرس Secure Copy Content Protection and Content Locking قبل از نسخه 2.8.2 از پارامتر sccp_id که برای کاربران احراز هویت نشده و احراز هویت شده در دسترس است پشتیبانی نمی‌کند و می‌تواند باعث تزریق SQL شود. این مشکل نیز در آپدیت بعدی برطرف شده است.
افزونه ثبت رویدادهای تقویم وردپرس قبل از ورژن 2.7.6 رویداد_id را که برای کاربران احراز هویت نشده و احراز هویت شده در دسترس است پاکسازی نمی‌کند و منجر به تزریق SQL توسط افراد احراز هویت نشده می شود. برای حل این مشکل باید افزونه را به روزرسانی نمایید.
افزونه WPS Hide Login WordPress قبل از نسخه 1.9.1 دارای یک اشکال است که به فرد امکان می‌دهد با تنظیم یک رشته ارجاع تصادفی و ارسال درخواست به /wp-admin/options.php به عنوان یک کاربر تأیید نشده، یک صفحه ورود مخفی را دریافت کند!. این مشکل نیز در آپدیت بعدی برطرف شده است. پس بلافاصله افزونه را به روزرسانی نمایید.
