یک آسیب‌پذیری از نوع HTML Injection در افزونه Responsive Blocks وردپرس (نسخه‌های پیش از 2.3.0) شناسایی شده است که به مهاجمان اجازه می‌دهد محتوای دلخواه خود، از جمله لینک‌های فیشینگ (Phishing)، را در ایمیل‌های اطلاع‌رسانی ارسالی برای مدیر سایت قرار دهند.
تحلیل فنی و جریان حمله
این نقص امنیتی در بخش Form block این افزونه وجود دارد. زمانی که یک کاربر ناشناس (Unauthenticated) مقاداری را در فیلدهای فرم ارسال می‌کند، افزونه این مقادیر را بدون پاک‌سازی (Sanitization) یا Escape کردن مناسب، در بدنه ایمیل اطلاع‌رسانی که برای مدیر سایت ارسال می‌شود، قرار می‌دهد. در نتیجه، اگر مهاجم کدهای HTML مخرب را ارسال کند، این کدها در کلاینت ایمیل مدیر اجرا شده و می‌توانند ویراستار را به صفحات جعلی برای سرقت اعتبارنامه‌ها (Credential Harvesting) هدایت کنند.
ارزیابی ریسک و شدت
امتیاز CVSS 3.1 برای این آسیب‌پذیری 5.4 (Medium) تعیین شده است. نکات کلیدی در مورد شدت این مورد عبارتند از:
- عدم اجرای کد در سرور: برخلاف برخی برچسب‌های اشتباه، این مورد منجر به Remote Code Execution (RCE) در سرور نمی‌شود و تأثیر آن محدود به محتوای ایمیل‌های ارسالی است.
- نیاز به تعامل کاربر (UI:R): حمله تنها زمانی موفقیت‌آمیز است که مدیر سایت ایمیل را باز کرده و روی لینک‌های تزریق شده کلیک کند.
- وضعیت اکسپلویت: در حال حاضر یک PoC (Proof of Concept) عمومی توسط WPScan منتشر شده است، اما شواهدی مبنی بر بهره‌برداری فعال (Active Exploitation) در محیط‌های واقعی یا ثبت آن در لیست KEV وجود ندارد.
راهکارهای مقابله و رفع آسیب‌پذیری
برای ایمن‌سازی سیستم‌ها، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: ارتقای افزونه Responsive Blocks به نسخه 2.3.0 یا بالاتر.
- تغییر تنظیمات ایمیل: در صورتی که امکان به‌روزرسانی سریع وجود ندارد، تنظیمات ایمیل‌های اطلاع‌رسانی فرم را از حالت HTML به متن ساده (Plain Text) تغییر دهید تا از اجرای کدهای تزریق شده جلوگیری شود.
- محدودسازی دسترسی: غیرفعال کردن Form block در صفحاتی که برای عموم در دسترس هستند، در صورتی که نیاز عملیاتی به آن‌ها نیست.
