Support Board, תוסף צ'אט ותמיכה לאתרי וורדפרס, הכיל עד גרסה 3.7.8 חולשה שמאפשרת לתוקף להגיע ישירות למסד הנתונים של האתר: לקרוא ממנו, להוסיף לו, לשנות אותו ולמחוק ממנו. הציון הוא 8.7 בסולם CVSS בגרסתו הרביעית, ולניצול נדרשות הרשאות משתמש בסיסיות.
מה החולשה?
אתר וורדפרס שומר את התוכן שלו, את רשימת המשתמשים ואת הסיסמאות המוצפנות במסד נתונים, והוא פונה אליו בשאילתות שנכתבות כטקסט. כשהאתר מרכיב שאילתה כזאת הוא משלב בתוכה ערכים שהגיעו מהדפדפן של המבקר. אם הערכים האלה אינם מסוננים, מי שמספק אותם יכול לכתוב בעצמו חלק מהשאילתה ולא רק למלא בה שדה. לטכניקה הזאת קוראים SQL Injection, והסיווג שניתן לחולשה הוא CWE-89.
במקרה הזה הרשומה מדויקת בפרטים. החולשה יושבת ב-endpoint בשם ajax.php בתוך תיקיית התוסף, בכתובת /supportboard/include/ajax.php, והפרמטר שדרכו עוברת ההזרקה הוא calls[0][message_ids][]. השם שלו מרמז על רשימה של מזהי הודעות, כלומר על שדה שאמור להכיל מספרים.
שימו לב למה שהרשומה מונה, כי זאת לא רק דליפה. היא כוללת קריאה, יצירה, עדכון ומחיקה, כלומר תוקף יכול גם לשנות את מה שיש במסד ולא רק להסתכל בו. הציון החמור בכל שלושת ממדי ההשפעה מגיע משם.
מי מושפע?
אתרי וורדפרס שמותקן בהם התוסף Support Board של schiocco בגרסה שקודמת ל-3.7.8. אתר שאין בו התוסף הזה אינו מושפע, גם אם יש בו צ'אט תמיכה של ספק אחר.
מדובר בתוסף תמיכה מסחרי, מהסוג שמותקן באתרי מסחר ובאתרים של חברות שירות. בישראל הוא אינו מהתוספים הנפוצים, וזה הוגן לומר. מה שכן, הקהל שמתקין תוסף כזה מחזיק באותו מסד נתונים גם פרטי לקוחות והתכתבויות תמיכה, וזאת הסיבה שחולשה כזאת מעניינת תוקף. הדרישה להרשאות אינה גבוהה: לפי הרשומה די בהרשאות משתמש בסיסיות, ולא נדרש חשבון מנהל.
האם מנוצלת בפועל?
אין ידיעה על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, וזה המצב בבדיקה האחרונה.
מה שכן שווה לדעת הוא לוח הזמנים. הרשומה פורסמה ב-25 במרץ 2026 ועודכנה לאחרונה ב-17 ביוני 2026, כלומר הפרטים, כולל שם הפרמטר המדויק, פומביים כבר תקופה ארוכה. חולשה שבה הכתובת והפרמטר ידועים היא מהסוג שנוח להפוך לסריקה אוטומטית של אתרים.
מה עושים?
עדכנו את התוסף לגרסה 3.7.8 או מעלה. בלוח הבקרה של וורדפרס, תחת תוספים, מופיעה הגרסה המותקנת ליד שם התוסף, ואם יש עדכון זמין הוא מוצע באותה שורה.
אם אינכם יודעים אם התוסף מותקן אצלכם בכלל, חפשו את Support Board ברשימת התוספים בלוח הבקרה. אפשר גם לבדוק אם קיימת התיקייה supportboard בתוך תיקיית התוספים של האתר בשרת.
אם התוסף מותקן בגרסה חשופה ואינכם יכולים לעדכן עכשיו, השביתו אותו בינתיים. תוסף מושבת אינו מקבל פניות, וצ'אט תמיכה שלא עובד יום הוא מחיר נמוך מול גישה למסד הנתונים של האתר.
ואם האתר רץ בגרסה חשופה תקופה ארוכה, בדקו אותו ואל תסתפקו בעדכון. חפשו חשבונות מנהל שאינכם מזהים, תוכן שנערך בתאריכים שאינם מסתדרים, ושינויים בהגדרות האתר. ההודעה של INCIBE היא המקור שהרשומה מפנה אליו לפרטי החולשה.