Popüler WordPress eklentisi 500.000’den fazla etkin kullanıcıya sahip Easy WP SMTP eklentisinde saldırganın siteyi ele geçirmesini sağlayan bir güvenlik açığı bulundu ve bu güvenlik açıklığını kapatıldı. WordPress eklentisindeki kusur, bilgisayar korsanlarının yönetici şifresini sıfırlamasına ve bir web sitesinin tam kontrolünü ele geçirmesine izin veriyordu.
Kolay WP SMTP Güvenlik Açığı
Güvenlik açığı, eklentinin bir klasörü nasıl tuttuğuyla ilgili çok temel bir hata nedeniyle açığa çıkan bir hata ayıklama günlük dosyasındadır. Bir sunucudaki, kullanıcılar tarafından görülmesi istenmeyen dosyaları içeren eklenti klasörleri genellikle boş bir index.html dosyası içerir. Bu dosyanın amacı, birinin o klasöre gitmesini ve o klasör içindeki dosyaların bir listesini görmesini engellemektir.
Birisi dosyaların listesini görebiliyorsa, bu durumda dosyalara erişebilir.
Hata ayıklama günlük dosyasının bulunduğu klasörde index.html dosyası yok. Dolayısıyla, dizin dizin listelerinin varsayılan olarak devre dışı bırakılmadığı sunucularda kötü niyetli bir bilgisayar korsanı bu dosyaya erişim sağlayabilir.
İlk yaptıkları şey, yaygın olarak bilinen yöntemleri kullanarak hacklemeye çalıştıkları WordPress sitesinden yönetici düzeyinde bir kullanıcı adı almaktır.
Ardından WordPress giriş sayfasına erişirler ve yönetici hesabı için bir şifre sıfırlama gönderirler.
Son olarak, hata ayıklama günlük dosyasına erişirler ve WordPress sitesinin gönderdiği şifre sıfırlama bağlantısının kaydını alırlar. Bu bağlantıyı aldıktan sonra girebilirler, şifreyi sıfırlayabilir ve ardından WordPress sitesine tam erişimin keyfini çıkarabilirler.
Değişiklik Günlüğünde Belgelenen Klasör Sorunu
Easy WP SMTP eklentisi, her güncellemedeki tüm değişiklikleri belgeleyen bir günlük kaydeder. Burada değişiklik günlüğünün okunması amaçlanmıştır, böylece bir kullanıcı bir güncellemede neyin değiştirdiğini görebilir.
Eklentiyi güncelleyerek açıktan korunabilirsiniz. Eklentiyi buradan indirebilirsiniz. Easy WP SMTP
Easy WP SMTP eklentisinin tüm kullanıcılarının 1.4.2 sürümünden daha yüksek bir sürüme güncelleme yapması şiddetle tavsiye edilir.
İlk Yorumu Siz Yapın