برنامه Bug Bounty وردفنس در ماه ژوئن ۲۰۲۶، مجموعاً ۱۰۶۶ گزارش آسیب‌پذیری از سوی پژوهشگران امنیتی دریافت کرده است. این گزارش‌ها پس از بررسی و تایید توسط تیم Threat Intelligence، جهت رفع سریع به توسعه‌دهندگان ارسال شده و در صورت لزوم، قوانین حفاظتی در WAF وردفنس برای مقابله با آن‌ها فعال شده است.
آمار کلیدی ماه ژوئن
- تعداد کل گزارش‌ها: ۱۰۶۶ مورد (کاهش ۲.۶٪ نسبت به ماه قبل)
- پژوهشگران فعال: ۳۰۶ نفر (افزایش ۴.۴٪)
- آسیب‌پذیری‌های با تهدید بالا (High Threat): ۵۸ مورد (افزایش ۶۵.۷٪)
- آسیب‌پذیری‌های رایج و خطرناک: ۴۵ مورد (افزایش ۱۸.۴٪)
- قوانین WAF منتشر شده: ۷ مورد
تحلیل فنی آسیب‌پذیری‌های بحرانی
در این ماه، چندین آسیب‌پذیری سطح بالا شناسایی شد که برخی از آن‌ها در وضعیت اکسپلویت فعال (Active Exploitation) قرار داشتند:
۱. افزونه Everest Forms Pro (تا نسخه ۱.۹.۱۲):
کشف یک آسیب‌پذیری Remote Code Execution (RCE) از طریق تزریق کد PHP در بخش Calculation Addon. به دلیل عدم پاک‌سازی صحیح ورودی‌ها در تابع process_filter()، مهاجمان بدون نیاز به احراز هویت می‌توانند کدهای دلخواه خود را روی سرور اجرا کنند.
۲. افزونه UpdraftPlus (نسخه‌های رایگان و پریمیوم):
شناسایی یک نقص بحرانی در احراز هویت (Authentication Bypass) از طریق UpdraftCentral. این نقص به دلیل اعتبارسنجی ناکافی فرمت پیام‌های ارتباطی از راه دور است که به مهاجم اجازه می‌دهد دستورات RPC دلخواه را به عنوان مدیر سیستم اجرا کرده و منجر به RCE شود.
۳. افزونه Burst Statistics (نسخه‌های ۳.۴.۰ تا ۳.۴.۱.۱):
وجود یک نقص در احراز هویت که منجر به Admin Account Takeover می‌شود. این مشکل ناشی از مدیریت نادرست مقدار بازگشتی در تابع is_mainwp_authenticated() است و به مهاجم اجازه می‌دهد با داشتن نام کاربری مدیر، خود را به جای او معرفی کند.
۴. افزونه Avada Builder (تا نسخه ۳.۱۵.۳):
کشف آسیب‌پذیری Arbitrary File Deletion. مهاجمان بدون احراز هویت می‌توانند فایل‌های دلخواه سرور (مانند wp-config.php) را حذف کنند که در نهایت می‌تواند منجر به اجرای کد از راه دور شود.
روندهای شناسایی شده در CWEها
بیشترین تعداد گزارش‌ها مربوط به Cross-Site Scripting (XSS) با ۶۰ مورد بوده است. با این حال، بیشترین مبالغ پاداش به آسیب‌پذیری‌های مربوط به Improper Authentication و Improper Verification of Cryptographic Signature اختصاص یافت که نشان‌دهنده تمرکز بر شناسایی نقص‌های ساختاری و بحرانی در احراز هویت است.
