Açık kaynak kodlu içerik yönetim sistemi WordPress’in eklentisi WP Statistics’te ortaya çıkan bir hata, sistemde oturum açılmadan veri tabanı bilgilerinin dosyalanmasının yolunu açıyor.
Threatpost sitesinde yer alan haberde WP Statistics’te ortaya çıkan bir hata ile ilgili bilgilere yer verildi. Söz konusu hatanın (bug) 600 binden fazla WordPress web sitesine yüklendiği belirlenmiş durumda. Hata sonucu ulaşılabilen bilgiler arasında site ziyaretçilerinin şifreleri, e-postaları ve kredi kartı bilgileri gibi veriler yer alıyor. Hataya sebep olarak gösterilen gelişme ise WordPress sitelerinde ortaya çıkan SQL-injection güvenlik açığı olarak ifade ediliyor.
WP Statistics eklentisi site sahiplerine sitelerini kaç kişinin ziyaret ettiği, ziyaretçilerin hangi ülkeden oldukları, kullanıcıların hangi kategori veya etiketi daha çok ziyaret ettiği yönünde çeşitli bilgileri sağlıyor.
Wordfence araştırmacılarının bu hafta yaptığı bir paylaşımda, “Normalde ‘sayfalar’ sekmesi sadece yöneticilerin kullanımına sunulmuş ve yönetici olmayanların bilgi görüntüleyemeyeceği bir sekmeyken, ‘wp-admin/admin.php with the page parameter set to wps_pages_page’ konumuna gönderilen bir istek ile görüntülenebilmesi mümkün oluyor.” ifadelerine yer verildi.
Yapılan paylaşımlarda ek olarak, “Özel hedefe sahip bir saldırıda bu güvenlik açığı kişisel olarak tanımlanabilecek verilerin çıkarılmasına sebep olabilir. Bu durum hassas verilerin saklandığı noktalarda bir uç nokta (endpoint) güvenlik duvarına sahip olmanın önemine dikkat çekiyor.” açıklamalarında bulunuldu.
Eklentinin geliştiricisi VeronaLabs yakın tarihlerde 13.0.8 sürümüne ait yeni bir yama yayınladı. Yetkililer site yöneticilerinin en kısa sürede güncellemeyi yapmaları gerektiğini vurguluyorlar.
Editör : SavunmaTR Haber Merkezi
