Brick Builder Theme Eklentisinde Güvenlik Açığı Çıktı!
Brick Builder Theme Eklentisinde etkileyen kritik uzaktan kod yürütme (RCE) açığı, saldırganların savunmasız sitelerde kötü amaçlı PHP kodu çalıştırmasına olanak tanıyor.
The Bricks Builder Theme, yenilikçi, topluluk odaklı görsel site oluşturma özellikleriyle tanınan bir premium WordPress temasıdır. Yaklaşık 25.000 aktif kurulumla, ürün web sitesi tasarımında kullanıcı dostu ve özelleştirilebilirlik vurgusu yapar.
10 Şubat’ta, bir araştırmacı olan ‘snicco’, temel yapılandırmasıyla birlikte kurulduğunda etkilenen CVE-2024-25600 olarak izlenen bir açıklık keşfetti.
Güvenlik sorunu, ‘prepare_query_vars_from_settings’ işlevindeki bir eval işlevi çağrısından kaynaklanmaktadır ve bu, kimlik doğrulamasız kullanıcıların bunu sömürmesine ve keyfi PHP kodu çalıştırmasına olanak tanır.
WordPress güvenlik açıkları için Patchstack platformu raporu aldı ve Bricks ekibini bilgilendirdi. Bir düzeltme hızla 13 Şubat’ta 1.9.6.1 sürümü ile yayınlandı.
Düzeltme yayınlanma sırasında herhangi bir istismar kanıtı olmamasına rağmen, kullanıcılar potansiyel riskleri azaltmak için en kısa sürede en son sürüme yükseltmeleri konusunda güçlü bir şekilde tavsiye edildi.
“Bu sürümün yayınlandığı zamanda bu açığın istismar edildiğine dair herhangi bir kanıt yoktur. Ancak, güncelleme 1.9.6.1’e kadar geciktirildikçe istismar olasılığı artar,” diye belirtildi Bricks’in tavsiye bildirisinde.
“Güncellemenizi mümkün olan en kısa sürede, en son Bricks 1.9.6.1 sürümüne yapın. Ama en azından 24 saat içinde. Ne kadar erken, o kadar iyi,” geliştiriciler yöneticilere ısrar etti.
Aynı gün, ‘snicco’ açıklığına dair bazı detayları açıkladı. Bugün, araştırmacı, saldırının bir gösterimini içeren orijinal yazıyı güncelledi, ancak saldırı kodunu paylaşmadı.
İlginizi çekebilecek yazımız: 13.000’den fazla Ivanti Ağ Geçinde Güvenlik Açığı Ortaya Çıktı