Bir milyondan fazla sitede kullanılan LayerSlider adlı premium WordPress eklentisi, kimliği doğrulanmamış SQL enjeksiyonuna karşı savunmasızdır ve yöneticilerin eklenti için güvenlik güncellemelerini uygulamaya öncelik vermesini gerektirir.
LayerSlider, WordPress sitelerinde duyarlı kaydırıcılar, resim galerileri ve animasyonlar oluşturmaya yönelik çok yönlü bir araçtır ve kullanıcıların çevrimiçi platformlarda dinamik içeriğe sahip görsel olarak çekici öğeler oluşturmasına olanak tanır.
Araştırmacı AmrAwad, 25 Mart 2024'te CVE-2024-2879 olarak takip edilen kritik (CVSS puanı: 9,8) kusuru keşfetti ve bunu, hata ödül programı aracılığıyla WordPress güvenlik firması Wordfence'e bildirdi. Sorumlu haberciliği karşılığında AmrAwad 5.500 dolar ödül aldı.
Eklentinin 7.9.11'den 7.10.0'a kadar olan sürümlerini etkileyen kusur, saldırganların sitenin veritabanından şifre karmaları gibi hassas verileri almasına olanak tanıyarak onları tamamen ele geçirme veya veri ihlali riskiyle karşı karşıya bırakabilir.
Wordfence'in raporunda verilen teknik ayrıntılar, güvenlik açığının eklentinin 'ls_get_popup_markup' işlevinin 'id' parametresini işlemesinde mevcut olduğunu ortaya koyuyor.
Bu işlev, 'id' parametresini düzgün bir şekilde temizlemede başarısız olur ve saldırganların özel hazırlanmış sorgulara kötü amaçlı SQL kodu eklemesine ve bunun sonucunda komutun yürütülmesine olanak tanır.
Olası sorguların yapısı, saldırıyı zamana dayalı kör SQL enjeksiyonuyla sınırlar; bu, saldırganların veritabanından veri çıkarmak için yanıt sürelerini gözlemlemesi gerektiği anlamına gelir.
Bu sınırlamaya rağmen, CVE-2024-2879, kötü niyetli aktörlerin, şifre karmaları ve hassas kullanıcı bilgileri de dahil olmak üzere sitede herhangi bir kimlik doğrulaması gerektirmeden sitenin veritabanından bilgi almasına olanak tanıyor.
Wordfence, sorguların WordPress'in '$wpdb->prepare()' işlevi kullanılarak hazırlanmaması nedeniyle sorunun daha da kötüleştiğini açıklıyor; bu işlev, veritabanı sorgularında kullanılmadan önce kullanıcı girişinin temizlenmesini sağlayarak SQL enjeksiyonunu önler.
Eklentinin yaratıcısı Kreatura Ekibi kusurdan hemen haberdar edildi ve raporu hemen kabul etti. Geliştiriciler, ilk temastan 48 saatten kısa bir süre sonra 27 Mart 2024'te bir güvenlik güncellemesi yayınladı.
Tüm LayerSlider kullanıcılarının, kritik güvenlik açığını gideren 7.10.1 sürümüne yükseltmeleri önerilir.
Genel olarak, WordPress site yöneticilerinin tüm eklentilerini güncel tutması, gerekmeyenleri devre dışı bırakması, güçlü hesap şifreleri kullanması ve ele geçirilebilecek hareketsiz hesapları devre dışı bırakması önemlidir.