Ciddi Güvenlik Açıkları Bulunan Limit Login Attempts Eklentisi Yeniden Yüklendi

WordPress eklentisi Limit Login Attempts Reloaded’de bazı ciddi güvenlik açıkları vardı. Geliştiriciler hatayı düzeltirken, bunu kullanıcılara açıkça duyurmadılar.

Yeniden Yüklenen Eklenti Güvenlik Açıklarını Giriş Denemelerini Sınırlandırıyor

Güvenlik araştırmacısı Veno Eivazian, blog gönderisinde popüler bir WordPress eklentisindeki bazı güvenlik açıkları hakkında bilgiler paylaştı.

Oturum Açma Girişimlerini Sınırla Yeniden yüklenen eklenti, oturum açma girişimlerini sınırlayarak onları kaba kuvvet saldırı karşı koruduğu için birçok WordPress web sitesi için popüler bir eklentiydi. Şu anda, eklenti 1 milyondan fazla aktif yüklenmeye sahip.

Hatalarla ilgili olarak, bunlardan biri, 9,8 puan alan kritik önem derecesine sahip CVE-2020-35590 güvenlik açığını içeriyordu Eklenti, herhangi bir kullanıcının oturum açma girişimlerinin sayısını uygun şekilde kısıtlayamadığı için mevcuttu. Gönderide açıklandığı gibi,

Eklenti, istemci kaynak IP adresi olarak rasgele bir başlığı kabul edecek şekilde yapılandırıldığında, kötü niye kullanıcı kaba kuvvet saldırısı gerçekleştirmekle sınırlı değildir, çünkü istemci IP başlığı herhangi bir rastgele dizeyi kabul eder. Başlık girişini rastgele hale getirirken, oturum açma sayısı hiçbir zaman izin verilen maksimum denemelere ulaşmaz.

Oysa ikinci güvenlik açığı olan CVE-2020-35589, 5,4 puanla orta şiddette bir hataydı. Bu güvenlik açığı, kimliği doğrulanmış uzak saldırganın XSS saldırılarına izin verebilir.

Araştırmacı, gönderideki her iki istismar için de kavram kanıtını tanımladı.

Sessizce Dağıtılan Yamalar

Araştırmacı ilk olarak hataları keşfetti ve Haziran 2020’de eklenti geliştiricilerine bildirdi. Kusurlar eklenti sürümlerini 2.13.0kadar etkiledi.

Başlangıçta 60 günlük bir açıklama süresi talep ederken, araştırmacı Aralık 2020’ye kadar eklenti ekibinden haber alamadı.

Ancak araştırmacı, Aralık ayında, ekibin 2.17.4 sürümünün yayınlanmasıyla birlikte düzeltmeyi sessizce uyguladığını doğruladı.

Bununla birlikte, o zamandan beri eklenti ekibi eklenti için çok sayıda güncelleme yayınladı. Web sitesine göre en son sürüm2.19.2’dir.

Bu nedenle, Yeniden Yüklenen Oturum Açma Girişimlerini Sınırla eklenti kullanıcıları, web sitelerinin en son sürümle çalışır durumda olduğundan emin olmalıdır.

 

Kaynak : latesthackingnews.com