Araştırmacılar, WordPress için en popüler web sitesi oluşturucu eklentilerinden birinin, tehdit aktörlerinin savunmasız web sitesini tamamen ele geçirmek için kullanabileceği yüksek düzeyde bir güvenlik açığı taşıdığı konusunda uyardı.
NinTechNet’ten siber güvenlik araştırmacısı Jerome Bruandet, Elementor Pro’da kimliği doğrulanmış bir saldırganın bir yönetici hesabı oluşturmasına izin veren bir kusur bulduğunu söyledi. Bu, saldırganlara, tüm trafiği kötü amaçlı harici bir web sitesine yönlendirmek için aktif olarak kullanılan bir olasılık da dahil olmak üzere bir dizi olasılık sağlar.
ArsTechnica, güvenliği ihlal edilmiş web sitelerinden gelen trafiğin uzağa yönlendirildiğini bildiriyor[dot]izci hattı[dot]com.
Kritik güvenlik açığı
wordpress (yeni sekmede açılır) güvenlik uzmanları PatchStack ayrıca bazı tehdit aktörlerinin, wp-resortpack.zip, wp-rate.php ve lll.zip dahil olmak üzere savunmasız web sitelerine kötü amaçlı dosyalar yüklediğini tespit etti.
Güvenlik açığı 8,8/10 olarak derecelendirildi ve “kritik” statüsü kazandı. Tüm eski sürümler kusura karşı savunmasız olduğundan, kullanıcıların Elementor Pro’yu 3.11.7 veya sonraki bir sürüme güncellemesi önerilir.
Bu, Elementor’da ilk kez yüksek önem dereceli bir kusurun keşfedilişi değil. Geçen yıl Nisan ayında, Wordfence’ten siber güvenlik araştırmacıları, kimliği doğrulanmış herhangi bir kullanıcının rastgele PHP kodu yüklemesine izin veren bir kusur buldu. O zamanlar eklenti, yeni bir Yerleştirme modülünü tanıtan 3.6.0 sürümündeydi. Modülün amacı, eklentinin ilk kurulumunu basitleştirmekti, ancak AJAX eylemlerini yetenek kontrolü olmaksızın kaydetmek için “alışılmadık” bir yöntemle geldi.
Sonuç olarak, oturum açmış herhangi bir kullanıcı, ekleme işlevlerinden herhangi birini kullanabilir. Bununla birlikte, örneğin bir saldırgan, kötü amaçlı bir “Elementor Pro” eklenti zip’i oluşturabilir ve onu yüklemek için ekleme işlevlerini kullanabilir. Site daha sonra siteyi devralmak veya sunucudaki ek kaynaklara erişmek için tasarlanmış kodlar dahil olmak üzere eklentide bulunan herhangi bir kodu çalıştırır. Araştırmacılar o sırada, işlevlerin siteyi tamamen bozmak için de kullanılabileceğini söylüyordu.
ArsTechnica, bugün Elementor Pro’nun 12 milyondan fazla web sitesi tarafından kullanıldığı sonucuna varıyor.
Aracılığıyla: ArsTechnica (yeni sekmede açılır)