WordPress'in popüler eklentilerinden olan Real-Time Find and Replace'teki bir güvenlik açığı nedeniyle bu eklentiyi indiren 100.000'in üzerindeki sayfa kötü niyetli kişilerin saldırılarına açık hâle geldi.

WordPress'teki 100.000'den fazla sayfanın indirip kullandığı bir eklentinin büyük sorunlara yol açabileceği keşfedildi. Real-Time Find and Replace (Gerçek Zamanlı Bul ve Yerini Değiştir) isimli popüler eklentideki güvenlik açığı, sayfalara kötü niyetli müdahaleleri olanaklı hâle getiriyor. Siteler Arası İstek Sahtekârlığı (CSRF) adı verilen yöntem yoluyla ele geçirilen sayfaya kötü niyetli kodlar eklenebiliyor.

Wordfence tarafından yapılan araştırmanın sonuçlarına göre bu kötü niyetli kodlar yoluyla yeni bir yönetici hesabı açılabilir, oturum çerezleri çalınabilir, kullanıcılar kötü niyetli bir siteye yönlendirilebilir, yönetici erişimi elde edilebilir veya hiçbir şeyden habersiz ziyaretçiler, tehlikeli bir siteye gönderilebilir. Siteler arası komut çalıştırma, JavaScript kodlarına müdahaleyle sağlanıyor.

Güvenlik açığı neden oluyor

Real-Time Find and Replace eklentisi, yöneticilerin WordPress'teki herhangi bir HTML içeriğini dinamik olarak yeni bir içerikle, üstelik kaynak içeriğini sürekli değiştirmek zorunda kalmadan, bir sayfa kullanıcının tarayıcısında belirmeden hemen önce değiştirebilmesini sağlıyor. Böylece bir kullanıcı orijinal içeriğe sahip bir siteyi kullandığında herhangi bir yer değiştirme kodu ya da içeriği çalıştırılmış oluyor. 

Bu özellik için kullanılan ana işlevlerden olan 'far_options_page', tek seferlik anahtar doğrulaması yapmadığından dolayı bulma ve yerini değiştirme kurallarını her güncelleme isteğinde kaynak doğrulama gerçekleşmiyor ve bu da CSRF açığına neden oluyor. CSRF saldırıları, kimliği doğrulanan bir kullanıcıdan bir web uygulamasına giden kötü niyetli istekler olarak belirtiliyor. Bu durumda açığı istismar edebilmek için kullanıcı etkileşimine ihtiyaç duyuluyor. Bunun için de yöneticiyi e-posta ya da yorumlarda yer alan kötü niyetli bir bağlantıya yönlendirmek yeterli oluyor. 

Potansiyel hackerların özellikle  HTML imini kötü niyetli JavaScript koduyla değiştirmeleri durumunda sayfayı bozabilecekleri belirtiliyor. Sayfaların çoğunun sayfa başlığında  HTML imi olduğu için bir kez kötü niyetli kod eklenirse etkilenen sitenin tüm sayfalarında aynı şey görülmüş oluyor.

Öte yandan Real-Time Find and Replace eklentisini son sürümü olan 4.0.2'ye yükseltmenin sorunu çözeceği belirtiliyor. Yeni sürümde tek seferlik anahtar doğrulaması yapıldığı kaydediliyor. 

Kaynak: Webtekno