Gündem

WordPress WooCommerce Eklentilerinden Kaynaklanan Kritik Güvenlik Açıkları Tespit Edildi!

Eğer eCommerce bir web sitesine sahipseniz ve WordPress WooCommerce kullanıyorsanız eklentilerden kaynaklanan kritik güvenlik açıkları nedeniyle çok dikkatli olmanız gerekli. “Plugin Vulnerabilities” adlı bir WordPress güvenlik şirketi WordPress resmi forum moderatörlerini protesto etmek amacıyla çok yaygın olarak kullanılan eklentilerden kaynaklanan kritik güvenlik açıklarını exploit edebildiklerini belirtti. Aslında bu kritik güvenlik açıkları WordPress çekirdeğinden kaynaklanan bir şey değil.

Güvenlik açığı, WordPress WooCommerce kullanılan e-ticaret sitesindeki ödeme sayfalarındaki formların özelleştirilmesine olanak sağlayan ve şu anda 60.000’den fazla web sitesi tarafından kullanılan “WooCommerce Checkout Manager” adlı bir eklentiden kaynaklanıyor. Söz konusu güvenlik açığından etkilenen sitelerde WooCommerce Checkout Manager eklentisi ayarlarında “yüklenen dosyaları kategorilere ayır” seçeneği etkinse, hackerlar açıktan yararlanarak sisteme rastgele dosya yükleyebilir.

Olaya biraz daha teknik açıdan bakacak olursak, includes/admin.php dosyasında 2084.satırda sıkıntı oluşuyor. Bu satır, ‘move_uploaded_file‘ kullanarak izin verilmiş olan dosyaları kontrol etmeden bir dizine taşıyor. Detayları bir blog yazısı ile açıklayan web uygulaması güvenlik platformu olan WebARX, eklentiden kaynaklı olan zafiyeti açıkladıktan sonra kullanıcılarını uyardı. Bu açıktan faydalanabilen bir saldırgan, uzaktan kod yürütebilir, verilere erişebilir veya verileri değiştirebilir. Açık WooCommerce Checkout Manager eklentisinin 4.2.6 sürümü için de geçerli. Eğer WordPress sitenizde bu eklentiyi kullanıyorsanız “yüklenen dosyaları kategorilere ayır” seçeneğini etkisiz hale getirmelisiniz veyahut eklentinin yeni sürümü yayınlanana kadar eklentiyi tamamen kaldırabilirsiniz.

WordPress Forum moderatörlerini de eleştirmek için güvenlik şirketi, sürekli olarak WordPress eklentilerinden kaynaklanan güvenlik açıklarını yayınlamaya devam etmekte. Şirket, eklentilerden kaynaklanan güvenlik açıklarını eklenti geliştiricilerine bildirmek yerine WordPress Forum moderatörlerini eleştirmek amacıyla destek talebinden açıkları bildiriyor. WordPress Forum moderatörleri de boş durmayarak güvenlik açıklarını destek talebiyle bildiren hesapları kara listeye aldı. Ancak moderatörlerin yaptığı bu engelleme çabaları “Plugin Vulnerabilities” adlı bu güvenlik şirketinin kendi web sitesinde WordPress güvenlik açıklarını eleştirir biçimde yayınlamasını durduramadı.

Etiketler
Daha Fazla Göster

İlgili Makaleler

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir