WordPress Anti-Spam Eklentisi Güvenlik Açığı; 60.000’den fazla yüklemeye sahip bir WordPress anti-spam eklentisi, girdilerin uygun olmayan şekilde sterilize edilmesinden kaynaklanan bir PHP Nesne enjeksiyon güvenlik açığını yamaladı ve ardından base64 kodlu kullanıcı girdisine izin verdi.
Kimliği Doğrulanmamış PHP Nesne Enjeksiyonu
Popüler Spam Gönderenleri Durdur Güvenlik | Spam Kullanıcılarını, Yorumları, Formları Engelle WordPress eklentisi. Eklentinin amacı, yorumlarda, formlarda ve kayıt kayıtlarında istenmeyen postaları durdurmaktır. İstenmeyen posta botlarını durdurabilir ve kullanıcıların engellemek için IP adreslerini girme yeteneğine sahiptir.
Bir kullanıcı girişini kabul eden herhangi bir WordPress eklentisi veya formu için, yalnızca metin, resimler, e-posta adresleri gibi belirli girişlere izin vermek için gerekli bir uygulamadır.
Beklenmeyen girdiler filtrelenmelidir. İstenmeyen girdileri dışarıda tutan bu filtreleme işlemine temizleme denir . Örneğin, bir iletişim formunun gönderilenleri denetleyen ve metin olmayan her şeyi engelleyen (sterilize eden) bir işlevi olmalıdır.
İstenmeyen posta önleme eklentisinde keşfedilen güvenlik açığı, kodlanmış girdiye (base64 kodlu) izin verdi ve bu, daha sonra PHP Nesne enjeksiyon güvenlik açığı adı verilen bir tür güvenlik açığını tetikleyebilir. WPScan web sitesinde yayınlanan güvenlik açığının açıklaması, sorunu şu şekilde açıklıyor:
“Eklenti, base64 kodlu kullanıcı girdisini unserialize() PHP işlevine, CAPTCHA ikinci meydan okuma olarak kullanıldığında iletir; bu, blogda kurulu bir eklentinin uygun bir aygıt zincirine sahip olması durumunda PHP Object enjeksiyonuna yol açabilir…”
WPScan web sitesinde yayınlanan güvenlik açığının açıklaması
Güvenlik açığının sınıflandırması, Güvenli Olmayan Seri Kaldırma şeklindedir . Kâr amacı gütmeyen Açık Web Uygulaması Güvenlik Projesi (OWASP), bu tür güvenlik açıklarının potansiyel etkisini ciddi olarak tanımlar ve bu güvenlik açığına özgü bir durum olabilir veya olmayabilir. OWASP’taki açıklama :
“Serileştirme kusurlarının etkisi abartılamaz. Bu kusurlar, olabilecek en ciddi saldırılardan biri olan uzaktan kod yürütme saldırılarına yol açabilir. İş etkisi, uygulamanın ve verilerin koruma gereksinimlerine bağlıdır.”
OWASP’taki açıklama
Ancak OWASP, bu tür bir güvenlik açığından yararlanmanın zor olduğunu da belirtiyor:
“Serileştirmenin kötüye kullanılması biraz zordur, çünkü kullanıma hazır istismarlar, altta yatan istismar kodunda değişiklik veya ince ayar yapmadan nadiren çalışır.”
OWASP
WordPress Anti-Spam Eklentisi Güvenlik Açığı
Stop Spammers Security WordPress eklentisindeki güvenlik açığı 2022.6 sürümünde giderildi. Resmi Spam Gönderenleri Durdurma Güvenliği değişiklik günlüğü (çeşitli güncellemelerin tarihlerini içeren bir açıklama), düzeltmeyi güvenlik için bir geliştirme olarak not eder.
Spam’i Durdur Güvenlik eklentisinin kullanıcıları, bir bilgisayar korsanının eklentiden yararlanmasını önlemek için en son sürüme güncelleme yapmayı düşünmelidir.
