בשבוע שעבר, שחררנו את WPML 4.6.13 ו-WooCommerce Multilingual 5.3.7 כדי לתקן בעיית אבטחה שדווחה על ידי Wordfence. אנחנו רוצים לשתף פרטים נוספים על התיקון הזה ומה זה אומר על האבטחה של האתרים שלכם.
ציר זמן של האירועים
ב-WPML, אבטחה היא העדיפות העליונה שלנו, ואנחנו מחויבים להבטיח שהאתרים שלכם יישארו בטוחים ומאובטחים. עבור התיקון הזה, עבדנו בשיתוף הדוק עם Wordfence, אחד השמות המכובדים ביותר בקהילת האבטחה של WordPress.
Wordfence יצרו איתנו קשר לגבי הבעיה של WPML ביולי, אבל למרבה הצער, ההודעה הגיעה לתיקיית הספאם ולא שמנו לב אליה זמן מה. למזלנו, הם שלחו לנו מייל המשך באוגוסט ומשם המשכנו, תיקנו את הפגיעות מיד וסיפקנו ל-Wordfence גרסה מתוקנת לאימות.
בהיותם השותפים הנהדרים והמומחים שהם, Wordfence דיווחו על פגיעות XSS קלה נוספת בתהליך, שגם אותה תיקנו מיד.
בינתיים, קיבלנו גם דיווח מ-Patchstack על פגיעות דומה ב-WooCommerce Multilingual.
לאחר שקיבלנו אישור מהם שהתיקון עבר את כל האימותים, שחררנו את WPML 4.6.13 ו-WooCommerce 5.3.7 ב-20 באוגוסט.
התפקיד המרכזי של Wordfence
אנחנו רוצים לנצל את ההזדמנות הזו כדי להודות ל-Wordfence על העזרה הנהדרת שלהם בזיהוי ותיקון הפגיעות האלה. החשיבות של העבודה שלהם עבורנו ועבור כל המערכת האקולוגית של WordPress לא ניתנת להערכה.
החריצות שלהם במעקב אחר הדיווח הראשוני והשיתוף שלהם לאורך תהליך התיקון מעידים על המחויבות שלהם לקהילת WordPress.
איך הניצול הזה עובד ומה זה אומר עליכם
כמה מאמרים באינטרנט תיארו את הבעיה הזו כ "ניצול קריטי" שמשפיע על יותר ממיליון אתרים. למרות שאנחנו מסכימים לחלוטין שאבטחה היא עניין רציני, חשוב להבהיר בדיוק איך הניצול הזה עובד במצבים של העולם האמיתי.
הפגיעות הזו דורשת מגורם רע שיהיו לו הרשאות עריכה באתר WordPress. זה אומר שהוא צריך להיות בעל תפקיד משתמש ברמת תורם או גבוהה יותר באתר המטרה.
עם זאת, החומרה תלויה באיזה סוגי משתמשים יש לכם באתר. אם אתם והצוות שלכם הם המנהלים/כותבים/עורכים היחידים באתר, אין אף אחד מחוץ לכם או לצוות שלכם שיכול לנצל את הפגיעות הזו.
מצד שני, אם אתם מנהלים אתר עם משתמשים שיש להם גישה ברמת תורם ואתם לא מכירים את האנשים האלה באופן אישי, אתם עלולים להיות בסיכון גבוה יותר.
לבסוף, אנחנו רוצים להדגיש שבשום שלב רוב המשתמשים של WPML לא היו בסיכון. התיקון פותח, נבדק ושוחרר בשיתוף הדוק עם Wordfence, והבעיה נפתרה לחלוטין.
כמו תמיד, אנחנו ממליצים בחום לשמור על WPML ו-WooCommerce Multilingual מעודכנים באתרים שלכם.
במקרה של חששות כלשהם
למשתמשים והשותפים שלנו שאולי דאגו מהדיווחים האחרונים, אנחנו רוצים להבטיח לכם שאין סיבה לדאגה. הבעיה נפתרה במהירות וביעילות, ואין עדות לכך שהיא נוצלה בפועל.
אם יש לכם שאלות או חששות, אנא הרגישו חופשיים ליצור איתנו קשר.
אנחנו נשארים מחויבים לאבטחה של האתרים שלכם ולשיתוף המתמשך שלנו עם Wordfence ומומחי אבטחה אחרים.
תודה על האמון המתמשך שלכם ב-WPML,
צוות WPML