Singapur Siber Güvenlik Ajansı, çeşitli WordPress eklentilerindeki güvenlik açıklarıyla ilgili kritik bir uyarı yayınlayarak kullanıcıların derhal harekete geçmesinin aciliyetini vurguladı. Kritik olduğu düşünülen bu WordPress eklentisi güvenlik açıkları, web sitesi güvenliği açısından önemli riskler oluşturur ve potansiyel olarak yetkisiz erişime ve kötü niyetli kişiler tarafından istismar edilmesine olanak tanır.
Birden fazla WordPress eklentisindeki bu kritik güvenlik açıklarını gidermek için güvenlik güncellemeleri derhal yayımlandı. SingCERT, 9 kritik WordPress eklentisi güvenlik açığını bildirdi ve tehdit aktörlerinin keşfetmesini önlemek için azaltma stratejilerini paylaştı.
SingCERT Birden Fazla WordPress Eklentisi Güvenlik Açığı İşaretledi
SingCERT, rastgele dosya yükleme ve SQL enjeksiyonuna izin verenler de dahil olmak üzere WordPress’teki bu kritik güvenlik açıklarını işaretledi. Bu güvenlik açıkları aşağıdaki gibidir:
WordPress Kopyalayıcı
AI İçerik Yazarı ve Oluşturucu: Bu güvenlik açığından (CVE-2024-31351) yararlanılması, kimliği doğrulanmamış bir saldırganın bir web sitesine rastgele dosyalar yüklemesine olanak tanıyarak web sitesinin bütünlüğünü tehlikeye atabilir. Bu güvenlik açığının ciddiyeti, 1.7’den önceki eklenti sürümlerini etkileyen CVSSv3.1’in 10 üzerinden 10’luk maksimum puanıyla vurgulanmaktadır.
Pasta Kaydı
Sosyal Sitelere Giriş (Eklenti): CVE-2024-4544 ile tanımlanan bu eklenti güvenlik açığı, kimlik doğrulamanın atlanmasına izin vererek potansiyel olarak kullanıcı hesaplarına yetkisiz erişime olanak tanır. CVSSv3.1 puanı 10 üzerinden 9,8 olan eklentinin 1.7.8’den önceki sürümleri etkilenmektedir.
Hash Form Sürükle ve Bırak Form Oluşturucu
Hash Form Sürükle ve Bırak Form Oluşturucu güvenlik açığı (CVE-2024-5084), kimliği doğrulanmamış saldırganların rastgele dosyalar yüklemesine izin vererek, etkilenen sitelerde uzaktan kod yürütülmesini kolaylaştırır. 10 üzerinden 9,8 olarak derecelendirilen ciddiyet derecesi, eklentinin 1.1.1’den önceki sürümlerini etkiliyor.
Ülke Eyalet Şehir Açılır CF7 Eklentisi
Bu eklentide tanımlanan güvenlik açığı (CVE-2024-3495), SQL enjeksiyonuna izin vererek web sitesinin veritabanında depolanan hassas verileri tehlikeye atma potansiyeline sahiptir. Güvenlik açığı 10 üzerinden 9,8 olarak derecelendirilmiştir ve 2.7.3’ten önceki sürümler etkilenmektedir.
Elementor için WPZOOM Eklentileri (Şablonlar, Widget’lar)
Bu güvenlik açığı (CVE-2024-5147), kimliği doğrulanmamış saldırganların sunucuya rastgele dosyalar yüklemesine ve yürütmesine olanak tanıyarak web sitesi güvenliğine ciddi bir tehdit oluşturur. Eklentinin 1.1.38’den önceki sürümleri savunmasızdır ve CVSSv3.1 puanı 10 üzerinden 9,8’dir.
İşletme Rehberi Eklentisi
Kolay Listeleme Dizinleri: SQL enjeksiyonuna (CVE-2024-4443) karşı savunmasız olan bu eklenti, kimliği doğrulanmamış saldırganların web sitesinin veritabanından hassas bilgiler almasına olanak tanır. CVSSv3.1 puanı 10 üzerinden 9,8 olan 6.4.3’ten önceki sürümler risk altındadır.
UserPro Eklentisi
Bu güvenlik açığı (CVE-2024-35700), saldırganların ayrıcalıkları yükseltmesine ve potansiyel olarak etkilenen web sitesinin tam kontrolünü ele geçirmesine olanak tanır. Eklentinin 5.1.9’dan önceki sürümleri etkilendi ve CVSSv3.1 puanı 10 üzerinden 9,8 oldu.
Fluent Forms İletişim Formu Eklentisi
Bu eklentinin (CVE-2024-2771) güvenlik açığı bulunan sürümleri ayrıcalık yükseltmeye izin vererek web sitesi güvenliği açısından önemli riskler oluşturur. 5.1.17’den önceki sürümler etkilenmektedir ve CVSSv3.1 puanı 10 üzerinden 9,8’dir. Bu güvenlik açığından aktif olarak yararlanıldığını belirtmekte fayda var.
Web Dizini Ücretsiz Eklentisi
Bu eklenti güvenlik açığı (CVE-2024-3552), kimliği doğrulanmamış saldırganların SQL enjeksiyonu yoluyla web sitesinin veritabanıyla doğrudan etkileşime girmesine olanak tanır ve potansiyel olarak veri hırsızlığına yol açar. 1.7.0’dan önceki sürümler etkilenmektedir ve CVSSv3.1 puanı 10 üzerinden 9,3’tür.
WordPress Güvenlik Açıklarına Karşı Azaltma Stratejileri
Bu WordPress eklentilerinin etkilenen sürümlerini kullanan kullanıcıların ve yöneticilerin, bu güvenlik açıklarını azaltmak ve web sitelerini olası istismarlara karşı korumak için derhal en son sürümlere güncellemeleri şiddetle tavsiye edilir.
Bu WordPress eklentisi güvenlik açıklarının azaltılmasına ilişkin daha fazla ayrıntı ve rehberlik için kullanıcılar, geliştiriciler tarafından sağlanan ilgili eklenti belgelerine ve güncellemelere başvurabilir. Ek olarak, sanal yama uygulama gibi güvenlik önlemlerinin kullanılması, güncellemeleri beklerken geçici koruma sağlayabilir.
WordPress web sitelerinin güvenliğinin sağlanması, düzenli güncellemeler ve güvenlik açıklarının izlenmesi de dahil olmak üzere proaktif önlemler gerektirir. Web sitesi sahipleri, bilgi sahibi olarak ve güvenlik endişelerini derhal ele alarak çevrimiçi varlıklarını potansiyel tehditlerden etkili bir şekilde koruyabilir.
Medya Yasal Uyarısı: Bu rapor, çeşitli yollarla elde edilen iç ve dış araştırmalara dayanmaktadır. Sağlanan bilgiler yalnızca referans amaçlıdır ve bu bilgilere güvenme konusunda tüm sorumluluk kullanıcılara aittir. Cyber Express bu bilgilerin kullanılmasının doğruluğu veya sonuçları konusunda hiçbir sorumluluk kabul etmez.