btbilgi

2020 yılı web sitesi yaratma ve yönetme sistemi WordPress için iyi başlamadı denilebilir. Ocak ayında güvenlik firması Wordfence’in bir duyurusu üzerine, 80 bin’den fazla sitede kurulu olan WP Database Reset (veritabanı sıfırlama) eklentisinin bir sorunu ortaya çıktı. Saldırganlar bu eklentinin kodundaki bir açığı kullanarak, web sitelerinin veritabanlarını uzaktan silebiliyorlardı. Yayımlanan bir güncelleme ile bu problem çözüldü. Fakat şimdi yeni bir eklenti daha geniş zarar verme potansiyeline sahip bir açıkla geliyor.

Güvenlik firması WebARX’ın yayımladığı bir rapora bakılırsa, ticari WordPress temaları satan bir web geliştirme şirketi olan ThemeGrill tarafından satılan temalarla birlikte gelen bir eklenti ciddi bir açığa sahip. ‘ThemeGrill Demo Importer’ (demo site yükleyici) isimli eklenti, siber saldırganların web sitelerini uzaktan silmesine izin verebilecek kritik bir hata barındırmakta. Eklentinin halen 200 bin’den fazla sitede yüklü olduğu aktarılıyor.

ThemeGrill Demo Importer eklentisi sayesinde site sahipleri demo içeriklerini ThemeGrill temalarına aktarabiliyor. Böylece kendi sitelerini oluşturabilecekleri örneklere ve bir başlangıç ​​yapısına sahip olabiliyorlar. Bu da sitenin kurulumunu hızlandırıp kolaylaştırıyor. Fakat yayımlanan raporda eklentinin eski sürümlerinin sahip olduğu açık yüzünden kullanıcıların savunmasız olduğu belirtilmiş.

Saldırganlar savunmasız sitelere özel hazırlanmış bir dosya atarak eklentinin içindeki bir işlevi tetikliyorlar. Eklentideki güvenlik açığı yüzünden, herhangi bir ThemeGrill temasının etkin olduğu ve eklentinin yüklü olduğu tüm WordPress sitelerinin içeriğini sıfırlanabiliyor. Ayrıca sitenin veritabanında ‘admin’ adlı bir kullanıcı varsa, siber saldırganlar o kullanıcıya erişebiliyor ve web sitesi üzerinde yönetici haklarıyla tam kullanım fırsatı kazanıyor. Yani kötü niyetli kişiler artık web sitesi ile ilgili ne isterlerse yapabilirler.

WebARX raporunda, güvenlik açığının ThemeGrill Demo Importer eklentisinin 1.3.4 ve 1.6.1 sürümleri arasındaki tüm sürümlerinde bulunduğu bilgisi verilmiş. Eklentinin geliştiricisi ThemeGrill’in aldığı uyarı üzerine açığı kapadığını ve geçen hafta sonu 1.6.2 sürümünü yayınladığı da iletilmekte. Kullanıcıların acil şekilde güncelleme yapmaları tavsiye ediliyor.

Yorumlar
btbilgi
PAYLAŞ
blank
xTRlarge, Türkiye'nin (TR) üretici ve yenilikçi potansiyelini sergilemek; farklı bakış açılarını, yeni tarzları, x sayıda yeni değeri, girişimi, fikri yansıtmak; teknolojiden doğaya, iş yönetiminden tasarıma, insana dair faaliyetlerin en geniş ufkunu sizlerle mümkün olduğu kadar geniş 'large" paylaşabilmek için yola çıktı. Geleceğe inancı olanlarla birlikte mesafe katetmeyi planlıyor.