Furminator WordPress Eklentisinde Güvenlik Açığı Ortaya Çıktı
500.000’den fazla sitede kullanılan Furminator WordPress Eklentisinde, kötü niyetli aktörlerin sunucuya sınırsız dosya yüklemeleri gerçekleştirmesine izin veren bir kusura karşı savunmasızdır.
Forminator by WPMU DEV, sürükle ve bırak işlevi, kapsamlı üçüncü taraf entegrasyonları ve genel çok yönlülük sunan WordPress siteleri için özel bir iletişim, geri bildirim, kısa sınavlar, anketler / anketler ve ödeme formları oluşturucudur.
Perşembe günü Japon CERT, Forminator’da uzaktaki bir saldırganın eklentiyi kullanan sitelere kötü amaçlı yazılım yüklemesine izin verebilecek kritik önem kusurunun (CVE-2024-28890, CVSS v3: 9.8) varlığına ilişkin güvenlik açığı notları portalı’nda (JVN) bir uyarı yayınladı.
“Uzak bir saldırgan, sunucudaki dosyalara erişerek hassas bilgiler edinebilir, eklentiyi kullanan siteyi değiştirebilir ve hizmet reddi (DoS) koşuluna neden olabilir.” – JVN
JPCERT’İN güvenlik bülteni aşağıdaki üç güvenlik açığını listeler:
CVE-2024-28890 – Dosya yükleme sırasında dosyaların yetersiz doğrulanması, uzaktaki bir saldırganın sitenin sunucusuna kötü amaçlı dosyalar yüklemesine ve yürütmesine olanak tanır. Forminator 1.29.0 ve önceki sürümleri etkiler.
CVE-2024-31077 – Yönetici ayrıcalıklarına sahip uzak saldırganların sitenin veritabanında rastgele SQL sorguları yürütmesine izin veren SQL enjeksiyon hatası. Forminator 1.29.3 ve önceki sürümleri etkiler.
CVE-2024-31857 – Siteler arası komut dosyası oluşturma (XSS) kusuru, uzak bir saldırganın, özel olarak hazırlanmış bir bağlantıyı takip etmesi için kandırılırsa, kullanıcının tarayıcısında rastgele HTML ve komut dosyası kodu yürütmesine izin verir. Etkiler Oluşturucu 1.15.4 ve üstü.
Forminator eklentisini kullanan site yöneticilerinin, eklentiyi mümkün olan en kısa sürede üç kusuru da gideren 1.29.3 sürümüne yükseltmeleri önerilir.
İlginizi çekebilecek yazımız: Chrome Güvenlik Güncellemesi: En Son Sürümde 23 Güvenlik Açığı Düzeltildi
WordPress.org istatistikler, güvenlik güncelleştirmesinin 8 Nisan 2024’te yayınlanmasından bu yana eklentiyi yaklaşık 180.000 site yöneticisinin indirdiğini gösteriyor. Tüm bu indirmelerin en son sürümle ilgili olduğunu varsayarsak, saldırılara karşı savunmasız kalan hala 320.000 site var.
Yazım sırasında, CVE-2024-28890 için aktif kullanımla ilgili kamuya açık bir rapor bulunmamakla birlikte, kusurun ciddiyeti ve bundan yararlanmak için karşılanması kolay gereksinimler nedeniyle yöneticilerin güncellemeyi hızlıca yapması öneriliyor.
WordPress sitelerinde saldırı yüzeyini en aza indirmek için mümkün olduğunca az eklenti kullanın, mümkün olan en kısa sürede en son sürüme güncelleyin ve aktif olarak kullanılmayan / ihtiyaç duyulmayan eklentileri devre dışı bırakın.
Haber kaynağı: Bleeping computer