افزونه Quick Page/Post Redirect وردپرس در نسخه‌های پیش از 5.2.4، دارای یک مکانیزم به‌روزرسانی (Update Mechanism) مخفی بوده است که برخلاف روال استاندارد، به‌جای استفاده از مخازن رسمی WordPress.org، به‌روزرسانی‌ها را از سرور شخصی نویسنده دریافت می‌کرد. این نقص امنیتی به مهاجمان اجازه می‌داد تا نسخه‌های آلوده (Backdoored builds) را به سایت‌های متاثر تزریق کنند و از طریق آن‌ها محتوای دلخواه یا کدهای مخرب را اجرا نمایند.
بررسی‌های فنی نشان می‌دهد که نسخه 5.2.1 این افزونه، شامل کتابخانه‌ای برای بررسی به‌روزرسانی بود که به‌طور مداوم یک آدرس مشخص در دامنه anadnet.com را پایش می‌کرد. در مارس ۲۰۲۱، این سرور یک نسخه تغییریافته از نسخه 5.2.3 را توزیع کرد که با نسخه اصلی منتشر شده در WordPress.org متفاوت بود. این نسخه آلوده از یک فیلتر به نام the_content استفاده می‌کرد تا برای بازدیدکنندگان وارد نشده (Logged-out visitors)، محتوای مخرب را از یک سرور خارجی دریافت و به ابتدای پست‌ها اضافه کند. این فعالیت عمدتاً برای انتشار لینک‌های اسپم (SEO Spam) جهت فریب موتورهای جستجو استفاده می‌شد.
از آنجایی که رشته نسخه (Version string) در نسخه آلوده با نسخه‌های بعدی WordPress.org مطابقت داشت، سایت‌های متاثر تا زمان انتشار نسخه 5.2.4، پیشنهادی برای به‌روزرسانی دریافت نمی‌کردند.
اقدامات اصلاحی (Remediation)
- افزونه Quick Page/Post Redirect را در صورت استفاده از نسخه‌های پیش از 5.2.4، به‌طور کامل حذف کنید.
- در صورت نیاز به استفاده، نسخه سالم 5.2.4 را مستقیماً از WordPress.org مجدداً نصب کنید.
- پوشه
updater/را در مسیر افزونه حذف کنید. - یکپارچگی فایل‌ها را با استفاده از دستور
verify-checksumsبررسی کنید. - حافظه کش اپ‌کد (Opcode cache) را پاکسازی کنید.
- هشدار: هر سایتی که نسخه دستکاری‌شده را اجرا کرده است، باید از نظر احتمال نفوذ و آلودگی (Compromised) مورد بازرسی دقیق قرار گیرد.
