یک محقق امنیتی جزئیات یک آسیب پذیری بحرانی را در یکی از افزونه‌های محبوب وردپرس که در بسیاری از سایت‌های وردپرسی فعال می‌باشد را افشا کرد . این آسیب پذیری دسترسی سطح پایینی به مهاجم می‌دهد که از این طریق می تواند کد‌های مخرب خود را در صفحه‌هایی که این پلاگین (AMP ) بر روی آنها فعال است تزریق کند.
پلاگین آسیب پذیر “AMP for WP – Accelerated Mobile Pages” است که این امکان را به سایت های وردپرسی می‌دهد که به صورت کاملا اتوماتیک صفحاتی مناسب برای گوشی‌های موبایل ایجاد کنند.از صد‌ها پلاگینی که به سایت‌های وردپرسی این امکان را می‌دهند که یک صفحه AMP بهینه برای گوگل ایجاد کنند،پلاگین “AMP For WP” با بیش از 100,000 نصب، بیشترین محبوبیت را نسبت به سایر افزونه‌ها دارد.
پلاگین آسیب پذیر توسط ورپرس از کتابخانه آن به صورت موقت پاک شد، اما نه توسعه دهنده آن و نه تیم وردپرس این مسئله آسیب پذیر بودن را به صورت دقیق منتشر نکردند.
یک محقق امنیتی به نام Luka Sikic از شرکت امنیتی WebARX با تحلیل افزونه “AMP for WP”، آسیب پذیری تزریق کد را دراین افزونه مشاهده کرده که بعد‌ها در ورژن جدید وصله شده است.آسیب پذیری که در پلاگین “AMP for WP” قرار دارد مدیریت مجوز برای حساب های کاربری و Wordpress AJAX hooks را انجام می‌دهد.
طبق گفته Sikic در بلاگ سایت شرکت WebARX:
“آسیب پذیری پلاگین AMP در تابع ampforwp_save_steps_data قرار دارد که در طول مراحل نصب تنظیمات را ذخیره می‌کند. این به عنوان wk_ajax_ampforwp_save_installer ajax hook ثبت شده است. این آسیب پذیری برای سایت هایی مهم است که اجازه ثبت نام به کاربر را می‌دهند.در نسخه جدید، افزونه مقدار wpnone را چک می‌کند و اگر کاربر وارد سیستم شده باشد می‌تواند گزینه ها را مدیریت کند.”
اگر سایت وردپرسی شما همچنان از پلاگین آسیب پذیر استفاده می‌کند، به شما توصیه می‌کنیم در سریع ترین زمان ممکن آخرین به روز رسانی امنیتی را دریافت کنید. پلاگین “AMP for WP” هم اکنون در آخرین نسخه خود ( 0.9.97.20) قرار دارد .