WordPress Plainview Activity Monitor v20161228 ve Öncesinde bulunan Komut Enjeksiyonu Güvenlik Açığı

WordPress

Ünlü kişisel bloglama ve web sitesi oluşturma yönetimi platformunda bir komut enjeksiyonu güvenlik açığı bulundu: WordPress. Güvenlik açığının Plainview Activity Monitor WordPress Plugin bileşeninde bulunduğu ve buna CVE-2018-15877'nin bir CVE tanımlayıcısı atandığı bulundu.

WordPress için Plainview Activity Monitor eklentisinde bulunan komut enjeksiyonu güvenlik açığı, uzaktan saldırıya uğramış bir sistemde uzaktan komutlar yürüten bir saldırganın ikramını ciddi şekilde riske atıyor. Enjekte edilen kötü niyetli komutlar, özellikle IP parametresi aracılığıyla ve activity_overview.php'ye uygun olmayan verileri hizmetin akışına atar.

Söz konusu bileşendeki bu komut enjeksiyonu güvenlik açığından kendi başına uzaktan yararlanılamaz. Ne yazık ki, WordPress'teki aynı bileşen eklentisinde iki güvenlik açığı daha var: bir CSRF saldırısı güvenlik açığı ve yansıtılan siteler arası komut dosyası çalıştırma güvenlik açığı. Bu güvenlik açıklarının üçü birlikte yararlanılmak üzere el ele çalıştığında, bir saldırgan başka bir kullanıcının sisteminde uzaktan komutlar çalıştırabilir ve bu da kullanıcının özel verilerine gereksiz ve yetkisiz erişim sağlar.

WordPress tarafından yayınlanan araştırılmış detaylara göre, güvenlik açığı ilk olarak 25^inciAğustos bu yıl. Aynı gün bir CVE tanımlayıcı etiketi talep edildi ve ardından güvenlik açığı, zorunlu bir satıcının bildiriminin bir parçası olarak ertesi gün WordPress'e bildirildi. WordPress, bileşen eklentisi sürüm 20180826 için yeni bir sürüm yayınlamakta hızlı davrandı. Bu yeni sürümün, Plainview Activity Monitor eklentisinin 20161228 ve daha eski sürümlerinde bulunan güvenlik açığını çözmesi bekleniyor.

Bu güvenlik açığı kapsamlı bir şekilde tartışılmış ve GitHub potansiyel bağlantılı istismar için bir kavram kanıtı da sağlanmıştır. Oluşturulan riskleri azaltmak için WordPress kullanıcılarından, sistemlerini Plainview Activity Monitor eklentisinin en yeni sürümünün sistemlerinde kullanımda olacak şekilde güncellemeleri istenir.