SeedProd tarafından hazırlanan Web Sitesi Oluşturucu’da 900.000’den fazla kuruluma sahip önemli bir güvenlik açığı yaması düzeltildi. 6.15.21’e kadar olan sürümlerde mevcut olan bu güvenlik açığı, WordPress sitelerinde yetkisiz veri değişikliği riski oluşturmaktadır.

Güvenlik Açığı Ayrıntıları: Eksik Yetenek Denetimi

Keşfedilen güvenlik açığına ‘seedprod_lite_new_lpage’ işlevinde eksik yetenek kontrolü adı veriliyor.

Yetenekler, kullanıcıların veya rollerin gerçekleştirmesine izin verilen belirli eylemlerdir. Yetenek kontrolü, WordPress’te izinleri ve erişim kontrollerini yönetmek için önemli bir güvenlik özelliğidir. Bir kullanıcının belirli bir eylemi gerçekleştirme yetkisine sahip olup olmadığını belirlerler.

Rol kontrolü kullanıcının rolünü (yönetici, editör vb. gibi) doğrularken, yetenek kontrolü kullanıcının belirli izinlere sahip olup olmadığını doğruladığı için rol kontrolüne benzer. Yetenek kontrolü, rol kontrolüne kıyasla izinler üzerinde daha ayrıntılı bir kontrol sağlar.

Eksik yetenek kontrolü, kimliği doğrulanmamış saldırganların eklenti kullanılarak oluşturulan yakında veya bakım sayfaları gibi çeşitli sayfaların içeriğini potansiyel olarak değiştirmesine olanak tanır. Bu güvenlik özelliğinin bulunmaması, web sitelerini veri tahrifatı risklerine maruz bırakır.

Yetkisiz Veri Değişikliği

Verilerin izinsiz değiştirilmesi ciddi bir güvenlik sorunudur. Yetkisiz kişilerin verileri değiştirebileceği ve potansiyel istismarlara yol açabileceği bir kusurdan kaynaklanır. Bu tür güvenlik açıklarının Web Sitesi Oluşturucu eklentisinde ele alınması önemle tavsiye edilir.

Önem Derecesi ve Etki: Yüksek Riske Maruz Kalma

Güvenlik açığı, Ortak Güvenlik Açığı Puanlama Sistemi’ne (CVSS) göre ‘Yüksek’ olarak sınıflandırılan önem derecesi ile 1-10 arası bir ölçekte 8,2 olarak derecelendirilmiştir. Yüksek derecelendirme, potansiyel etkinin ne kadar ciddi olduğunu gösterir.

Bu güvenlik açığı o kadar yeni ki, şu anda Ulusal Güvenlik Açığı Veritabanında atanmış CVE numarası CVE-2024-1072 için herhangi bir giriş yok.

Ancak Wordfence WordPress güvenlik araştırmacıları durumun ciddiyetini vurguladı SeedProd Web Sitesi Oluşturucu güvenlik açığı:

“Bu, kimliği doğrulanmamış saldırganların çok yakında, bakım sayfalarının, oturum açma bilgilerinin ve eklentiyle oluşturulan 404 sayfanın içeriğini değiştirmesine olanak tanıyor.”

Web Sitesi Oluşturucu Eklentisi Kullanıcılarına Öneri

SeedProd’un Web Sitesi Oluşturucusu’nun yayıncısı, bu güvenlik açığını gideren güncellenmiş bir sürüm olan 6.15.22’yi yayınlayarak yanıt verdi. Güncelleme, riski azaltmak için bir güvenlik önlemi içeriyor ve eklenti kullanıcılarının, web sitelerini saldırılara karşı korumak için derhal güncelleme yapmaları şiddetle tavsiye ediliyor.

Nonce ile ilgili olarak, WordPress bunun ne olduğunu açıklıyor:

Nonce, URL’leri ve formları belirli kötü amaçlı veya başka türdeki kötüye kullanımlardan korumaya yardımcı olan “bir kez kullanılan numaradır”.

…Çeşitli saldırı türlerine karşı korunmaya yardımcı olurlar…”

Wordfence’in duyurusunu okuyun:

SeedProd’dan Web Sitesi Oluşturucu — Tema Oluşturucu, Açılış Sayfası Oluşturucu, Çok Yakında Sayfası, Bakım Modu <= 6.15.21 – Seedprod_lite_new_lpag aracılığıyla Eksik Yetkilendirme

Resmi SeedProd Değişiklik Günlüğünü okuyun

Shutterstock/Nikulina Tatiana’dan Öne Çıkan Görsel