28.000’den fazla satışı olan premium WordPress WPLMS temasının gerektirdiği iki WordPress eklentisi, bir düzineden fazla kritik önemdeki güvenlik açığına karşı savunmasızdır.
Hatalar, uzaktaki, kimliği doğrulanmamış bir saldırganın sunucuya rasgele dosyalar yüklemesine, kod yürütmesine, ayrıcalıkları yönetici düzeyine yükseltmesine ve SQL enjeksiyonları gerçekleştirmesine olanak sağlayabilir.
WPLMS teması, WordPress için öncelikle eğitim kurumları, eğitim sağlayan şirketler ve e-öğrenme sağlayıcıları tarafından kullanılan bir öğrenme yönetim sistemidir (LMS). Ayrıca kursların satışı için WooCommerce ile entegrasyon da sunar.
WPLMS temasındaki güvenlik açıkları
Patchstack güvenlik açığı araştırmacıları, WPLMS ve VibeBP eklentilerinde toplam 18 güvenlik sorunu buldu ve yakın tarihli bir raporda bunlardan en önemli 10’unu sundu.
WPLMS temasını etkileyen kusurların bir özetini burada bulabilirsiniz:
- CVE-2024-56046 (CVSS 10.0): Saldırganların, kimlik doğrulaması olmadan kötü amaçlı dosyalar yüklemesine olanak tanır ve potansiyel olarak uzaktan kod yürütülmesine (RCE) yol açar.
- CVE-2024-56050 (CVSS 9.9): Abone ayrıcalıklarına sahip kimliği doğrulanmış kullanıcılar, kısıtlamaları atlayarak dosya yükleyebilir.
- CVE-2024-56052 (CVSS 9.9): Abone+’ya benzer ancak öğrenci rollerine sahip kullanıcılar tarafından kullanılabilir.
- CVE-2024-56043 (CVSS 9.8): Saldırganlar, kimlik doğrulaması olmadan Yönetici de dahil olmak üzere herhangi bir rol olarak kaydolabilirler.
- CVE-2024-56048 (CVSS 8.8): Düşük ayrıcalıklı kullanıcılar, zayıf rol doğrulamayı kullanarak Yönetici gibi daha yüksek rollere yükselebilirler.
- CVE-2024-56042 (CVSS 9.3): Saldırganlar, hassas verileri çıkarmak veya veritabanını tehlikeye atmak için kötü amaçlı SQL sorguları ekleyebilir.
- CVE-2024-56047 (CVSS 8.5): Düşük ayrıcalıklı kullanıcılar SQL sorguları yürütebilir ve bu da potansiyel olarak veri bütünlüğünü veya gizliliğini tehlikeye atabilir.
Kaynak: Patchstack
Ve için VibeBP:
- CVE-2024-56040 (CVSS 9.8): Saldırganlar, kimlik doğrulaması olmadan ayrıcalıklı kullanıcılar olarak kaydolabilirler.
- CVE-2024-56039 (CVSS 9.3): SQL sorguları, kimlik doğrulaması yapılmamış kullanıcılar tarafından enjekte edilebilir ve bu durum, yeterince temizlenmemiş girişlerden yararlanılabilir.
- CVE-2024-56041 (CVSS 8.5): Minimum ayrıcalıklara sahip kimliği doğrulanmış kullanıcılar, veritabanı bilgilerini tehlikeye atmak veya çıkarmak için SQL enjeksiyonu gerçekleştirebilir.
Kaynak: Patchstack
WPLMS kullanıcıları 1.9.9.5.3 ve daha yeni bir sürüme, VibeBP ise 1.9.9.7.7 veya daha yeni bir sürüme yükseltilmelidir.
Genel bir güvenlik tavsiyesi olarak Patchstack, web sitelerinin güvenli dosya yüklemelerini, SQL sorgu temizliğini ve rol tabanlı erişim kontrollerini zorunlu kılmasını önerir.
Patchstack güvenlik açıklarını buldu ve 31 Mart’ta WPLMS geliştiricisi Vibe Themese’ye sorunları bildirdi. Nisan ve Kasım ayları arasında geliştirici, tüm güvenlik açıklarını giderene kadar birden fazla yamayı test etti.
Vibe Temaları, sunulan düzeltmenin tüm hataları giderdiğinden emin olmak için Patchstack ile işbirliği yaptı.