Binlerce WordPress sitesi tehlikeli eklentilerin tehdidi altında

WordPress eklentisinin 300.000 kurulu üzerindeki güvenlik açığı

Uzmanlar, 300.000’den fazla kuruluma sahip popüler bir WordPress eklentisinin, tehdit aktörlerinin web sitelerini tamamen ele geçirmesine izin verebilecek iki yüksek önem derecesine sahip güvenlik açığı taşıdığı konusunda uyardı.

Wordfence’ten siber güvenlik araştırmacıları söz konusu açığı geçen yılın Aralık ayı başında keşfederek geliştiricilere bildirdi.

Araştırmacılara göre, savunmasız eklenti, web yöneticilerinin ziyaretçilerine e-posta göndermelerine yardımcı olan bir araç olan POST SMTP olarak adlandırılıyor. CVE-2023-6875 ve CVE-2023-7027 olmak üzere iki büyük kusur taşıyordu.

Yüz binlerce potansiyel kurban

Bunlardan ilki, eklentinin 2.8.7’ye kadar olan tüm sürümlerini etkileyen kritik bir yetkilendirme atlama açığıdır. Bir tehdit aktörü bu açığı kötüye kullanarak API anahtarlarını sıfırlayabilir ve böylece parola sıfırlama e-postaları gibi hassas günlük bilgilerine erişim sağlayabilir. Hatta arka kapılar yüklemek, eklentileri ve temaları değiştirmek, sitenin içeriğini kurcalamak veya kullanıcıları başka bir yere yönlendirmek (örneğin, kötü niyetli bir kimlik avı sayfasına veya reklamlarla gölgelenmiş bir siteye) için açığı kötüye kullanabilirler.

İkincisi, 2.8.7’ye kadar olan tüm sürümlerde de mevcut olan bir siteler arası komut dosyası oluşturma (XSS) güvenlik açığıdır. Bilgisayar korsanları bunu kötüye kullanarak rastgele komut dosyaları ekleyebilirler.

Açık ilk olarak Aralık ayı başında tespit edildi ve yama 1 Ocak 2024 tarihinde kullanıma sunuldu. POST SMTP aracını kullananlar eklentinin 2.8.8 sürümüne getirildiğinden emin olmalıdır.

BleepingComputer’a göre, 2.8’den daha eski POST SMTP sürümlerini kullanan yaklaşık 150.000 web sitesi var. Diğer 150,000’i ise daha yeni ancak hala savunmasız bir sürüm kullanıyor. Yama yayınlandığından bu yana yaklaşık 100,000 yeni indirme yapıldı.

POST SMTP ücretsiz bir eklentidir ve WordPress eklenti deposunda 4.8/5 olarak derecelendirilmiştir.

Genel olarak, bir web sitesi kurucusu olarak WordPress güvenli kabul edilir. Ancak, farklı güvenlik açıkları taşıyan on binlerce ücretsiz eklenti bulunmaktadır. Bazı eklentiler, kullanıcılar arasında popüler olmalarına rağmen, geliştiricileri tarafından artık desteklenmemekte ve kullanıcıları büyük risk altına sokmaktadır.