برای کارکرد بهتر وب‌سایت و بهبود تجربه کاربری شما با سرتفا، ما نیاز به اجرای سرویس تجزیه و تحلیل آماری داریم، آیا موافق این موضوع هستید؟

هشدار محققان امنیتی درباره

آسیب‌پذیری در پلاگین jQuery File Upload

به‌تازگی یک آسیب‌پذیری نسبتا قدیمی در پلاگین محبوب بارگذاری فایل جی‌کوئری «jQuery File Upload» مورد توجه عمومی قرار گرفته است. پلاگینی که در هزاران وب‌سایت مختلف تا به امروز مورد استفاده قرار گرفته و امنیت‌ آن‌ها را با خطراتی جدی مواجه کرده است. این آسیب‌پذیری باعث می‌شود تا مهاجمان بتوانند در وب‌سایت‌هایی که از این پلاگین استفاده می‌کنند، فایل‌های مخرب را به‌صورت مخفیانه بارگذاری کنند.


02 آبان 97 | 21:06
آسیب‌پذیری در پلاگین jQuery File Upload

آسیب‌پذیری‌های امنیتی در پلاگین‌ها و ماژول‌های مورد استفاده در وب‌سایت‌های مختلف، از جمله عواملی است که باعث می‌شود مهاجمان بتوانند از آن‌ها برای انجام حملات مختلف و عملیات‌های مخرب بهره‌برداری کنند.

آسیب‌پذیری امنیتی در پلاگین بارگذاری فایل جی‌کوئری «jQuery File Upload» که قدمتی چندین ساله دارد، به‌دلیل عدم تطابق با تنظیمات امنیتی (فایل htaccess.) در وب سرورهای آپاچی، سبب ایجاد اخلال در کارکرد طبیعی وب‌سایت‌ها می‌شود. به‌گونه‌ای که مهاجمان می‌توانند در وب‌سایت‌هایی که با زبان PHP توسعه داده شده‌اند، از این پلاگین برای بارگذاری فایل‌های مخرب - مانند درب پشتی - در سرورهای آسیب‌پذیری استفاده کنند.

این آسیب‌پذیری که به‌تازگی با شناسه CVE-2018-9206 ثبت شده است، گفته می‌شود طی سالیان اخیر توسط هکرهای مختلف مورد بهره‌برداری قرار گرفته و تنها بیش از سه سال است که آموزش‌های مختلف جهت سوءاستفاده از آن، در اینترنت در دسترس عموم است.

از آنجایی که این پلاگین در بسیاری از وب‌سایت‌ها و سرویس‌ها از جمله سیستم‌های مدیریت محتوا، سیستم‌های ارتباط با مشتریان، افزونه‌های وردپرس، دروپال، جوملا و... ممکن است به کار رفته باشد، به همه مدیران و توسعه‌دهندگان وب‌سایت‌ها توصیه می‌شود در اسرع وقت، نسبت به بررسی جایگزین کردن نسخه جدید jQuery File Upload و همین‌طور به‌روزرسانی سایر پلاگین‌های قدیمی اقدام کنند.

لازم به ذکر است که توضیحات آسیب‌پذیری و اثبات مفهوم «POC» آن پس از شناسایی به‌صورت عمومی در وب‌سایت گیت‌هاب در دسترس عموم قرار گرفته است.

 

 

توضیحات بیشتر در:

- Having The Security Rug Pulled Out From Under You
- CVE-2018-9206 Detail

 

 

گروه خبر سرتفا

گروه خبر سرتفا

یکی از اهداف سرتفا، انتشار سریع اخبار مربوط به رویدادها و رخدادهای حوزه امنیت سایبری است. بر همین اساس، گروه خبر سرتفا پس انتخاب اخبار از منابع رسمی و معتبر خارجی، اقدام به ترجمه، ویرایش و ساده‌سازی خبر برای مخاطبان این حوزه می‌کند.