ثغرة في إضافات ووردبريس تتعرض لهجوم فعلي وتسمح بإنشاء حسابات مسؤولين

تتعرض الإضافات والتطبيقات المستخدمة في بناء المواقع الإلكترونية باستمرار لتحديات أمنية قد تستغلها جهات خبيثة. وفي هذا السياق، تم اكتشاف ثغرة أمنية خطيرة في إضافة شهيرة لموقع ووردبريس.

تم اكتشاف ثغرة أمنية بارزة تستهدف إضافة “King Addons for Elementor”، وهي إضافة شائعة لمواقع ووردبريس، وتشكل تهديداً فعالاً للعديد من المواقع. وقد بدأت جهات غير معروفة بالاستغلال النشط لهذه الثغرة في الوقت الحالي.

ثغرة تصعيد الامتيازات في King Addons

وتُعرف هذه الثغرة بالرمز CVE-2025-8489، وحصلت على تصنيف خطورة 9.8 (CVSS)، وهي تتعلق بتصعيد الامتيازات، مما يسمح للمهاجمين غير المصرح لهم بمنح أنفسهم صلاحيات المسؤول (Administrator) بسهولة. يتم ذلك ببساطة عبر تحديد دور المسؤول عند التسجيل.

وتؤثر هذه الثغرة على الإصدارات من 24.12.92 وحتى 51.1.14. وقد قام مطورو الإضافة بمعالجة المشكلة في الإصدار 51.1.35 الذي تم إصداره بتاريخ 25 سبتمبر 2025. ويعود الفضل في اكتشاف الثغرة والإبلاغ عنها إلى الباحث الأمني Peter Thaleikis. وتجدر الإشارة إلى أن هذه الإضافة تستخدم حالياً في أكثر من 10,000 موقع نشط.

آلية عمل الثغرة

وأوضحت شركة Wordfence، المتخصصة في أمن ووردبريس، أن المشكلة تكمن في عدم قيام الإضافة بتقييد صلاحيات الأدوار التي يمكن للمستخدمين التسجيل بها. هذا الأمر يفتح الباب أمام المهاجمين غير المصرح لهم للتسجيل بحسابات ذات صلاحيات إدارية كاملة.

وتحديداً، تكمن المشكلة في وظيفة “handle_register_ajax()” التي يتم استدعاؤها أثناء عملية تسجيل المستخدمين. ومع ذلك، فإن التنفيذ غير الآمن لهذه الوظيفة سمح للمهاجمين غير المصرح لهم بتحديد دورهم كـ “مسؤول” (administrator) في طلب HTTP مُعدّ إلى نقطة النهاية “/wp-admin/admin-ajax.php”، مما منحهم صلاحيات مرتفعة.

التأثيرات المحتملة للاستغلال

في حال نجاح استغلال هذه الثغرة، يمكن للمهاجمين السيطرة بشكل كامل على المواقع التي تستخدم هذه الإضافة، واستخدام هذا الوصول لرفع أكواد خبيثة. يمكن لهذه الأكواد نشر برمجيات ضارة، أو إعادة توجيه زوار الموقع إلى مواقع مشبوهة، أو حقن محتوى غير مرغوب فيه (سبام).

وأفادت Wordfence بأنها قامت بحظر أكثر من 48,400 محاولة استغلال منذ الكشف العلني عن الثغرة في أواخر أكتوبر 2025، حيث تم إحباط 75 محاولة في الـ 24 ساعة الماضية وحدها. وقد جاءت هذه الهجمات من عناوين IP التالية: 45.61.157.120، 182.8.226.228، 138.199.21.230، 206.238.221.25، و 2602:fa59:3:424::1.

وأضافت الشركة الأمنية ووردبريس: “قد يكون المهاجمون بدأوا في استهداف هذه الثغرة بشكل نشط في وقت مبكر من 31 أكتوبر 2025، مع بدء الاستغلال الواسع بتاريخ 9 نوفمبر 2025.”

توصيات أمنية

ولهذا، يُنصح مسؤولو المواقع الإلكترونية بالتأكد من تحديث الإضافات إلى أحدث إصداراتها، ومراجعة بيئاتهم بحثاً عن أي مستخدمين إداريين مشبوهين. كما يجب عليهم مراقبة أي علامات غير طبيعية قد تشير إلى اختراق.