WordPress Layerslider eklentisindeki bir güvenlik açığı, örnekteki hassas verileri tehlikeye atıyor. Siber araştırmacılar riski “kritik” olarak sınıflandırıyor.
Duyuru
Bir blog yazısında Wordfence, Layerslider'daki güvenlik açığıyla ilgili ayrıntıları açıklıyor. Sonuç olarak bu, saldırganların kendi sorgularını enjekte etmelerine olanak tanıyan bir SQL enjeksiyon güvenlik açığıdır. Eylem ls_get_popup_markup Layerslider 7.9.11 ve 7.10.0'da kullanıcılar tarafından iletilen parametreler yeterince filtrelenmiyor, dolayısıyla mevcut bir SQL sorgusunun yetersiz hazırlanması nedeniyle (prepare) Saldırganlar bu şekilde emirlerine sızabilirler (CVE-2024-2879, CVSS 9.8, eleştirmen).
WordPress eklentisinde SQL enjeksiyon güvenlik açığı
Bu güvenlik açığı, saldırganların veritabanındaki hassas bilgileri okumasına olanak tanır. Blog gönderisinin yazarları örnek olarak şifre karmalarını gösteriyor.
Layerslider eklentisinin geliştiricileri geçen hafta 7.10.1 sürümünü yayınladı. Layerslider sürüm günlüğüne göre yeni sürüm yalnızca güvenlik düzeltmeleri içeriyor. Şirket bilgilerine ve Wordfence'e göre eklenti, bir milyondan fazla WordPress örneğinde kullanılıyor. BT yöneticileri güncel sürümü hızlı bir şekilde yüklediğinden emin olmalıdır.
Şikayet, Mart ayı sonlarında Wordfence'in hata ödül programının (“Bug Bounty Extravaganza”) bir parçası olarak, 5.500 $ ödül alan AmrAwad takma adlı kullanıcı tarafından bildirildi. Wordfence, bunun “Extravaganza” kampanyası kapsamında şu ana kadar ödenen en yüksek ödül olduğunun altını çiziyor.
WordPress eklentileri mevcut CVE raporlarının büyük bir bölümünü oluşturur; BT araştırmacıları her gün onlarca savunmasız eklenti buluyor. En son, Şubat ayının sonlarında, WordPress Ultimate Member eklentisi ciddi bir güvenlik açığına maruz kaldı; bu da şifre karmalarının yetkisiz ellere geçebileceği anlamına geliyordu.
(Bilmiyorum)
Haberin Sonu
Duyuru
Bir blog yazısında Wordfence, Layerslider'daki güvenlik açığıyla ilgili ayrıntıları açıklıyor. Sonuç olarak bu, saldırganların kendi sorgularını enjekte etmelerine olanak tanıyan bir SQL enjeksiyon güvenlik açığıdır. Eylem ls_get_popup_markup Layerslider 7.9.11 ve 7.10.0'da kullanıcılar tarafından iletilen parametreler yeterince filtrelenmiyor, dolayısıyla mevcut bir SQL sorgusunun yetersiz hazırlanması nedeniyle (prepare) Saldırganlar bu şekilde emirlerine sızabilirler (CVE-2024-2879, CVSS 9.8, eleştirmen).
WordPress eklentisinde SQL enjeksiyon güvenlik açığı
Bu güvenlik açığı, saldırganların veritabanındaki hassas bilgileri okumasına olanak tanır. Blog gönderisinin yazarları örnek olarak şifre karmalarını gösteriyor.
Layerslider eklentisinin geliştiricileri geçen hafta 7.10.1 sürümünü yayınladı. Layerslider sürüm günlüğüne göre yeni sürüm yalnızca güvenlik düzeltmeleri içeriyor. Şirket bilgilerine ve Wordfence'e göre eklenti, bir milyondan fazla WordPress örneğinde kullanılıyor. BT yöneticileri güncel sürümü hızlı bir şekilde yüklediğinden emin olmalıdır.
Şikayet, Mart ayı sonlarında Wordfence'in hata ödül programının (“Bug Bounty Extravaganza”) bir parçası olarak, 5.500 $ ödül alan AmrAwad takma adlı kullanıcı tarafından bildirildi. Wordfence, bunun “Extravaganza” kampanyası kapsamında şu ana kadar ödenen en yüksek ödül olduğunun altını çiziyor.
WordPress eklentileri mevcut CVE raporlarının büyük bir bölümünü oluşturur; BT araştırmacıları her gün onlarca savunmasız eklenti buluyor. En son, Şubat ayının sonlarında, WordPress Ultimate Member eklentisi ciddi bir güvenlik açığına maruz kaldı; bu da şifre karmalarının yetkisiz ellere geçebileceği anlamına geliyordu.
(Bilmiyorum)
Haberin Sonu