28.000'den fazla satışa sahip olan Premium WordPress WPLMS temasının gerektirdiği iki WordPress eklentisi, bir düzineden fazla kritik şiddet güvenlik açıkına karşı savunmasızdır.
Hatalar, uzaktan, kimlik doğrulanmamış bir saldırganın keyfi dosyaları sunucuya yüklemesini, kodu yürütmesini, ayrıcalıkları yönetici düzeyine yükseltmesini ve SQL enjeksiyonlarını gerçekleştirmesini sağlayabilir.
WPLMS teması, öncelikle eğitim kurumları, eğitim sağlayan şirketler ve e-öğrenme sağlayıcıları tarafından kullanılan WordPress için bir öğrenme yönetim sistemidir (LMS). Ayrıca kurs satmak için WooCommerce ile entegrasyon sunar.
PatchStack Güvenlik Açığı Araştırmacıları, WPLMS ve VIBEBP eklentilerinde toplam 18 güvenlik sorunu buldular ve en önemli olanların son raporunda yer aldı.
İşte WPLMS temasını etkileyen kusurların bir özeti:
Ve vibebp için:
WPLMS kullanıcıları 1.9.9.5.3 ve daha yeni sürümlere yükseltilmeli, VibEBP ise 1.9.9.7.7 veya üstüne yükseltilmelidir.
Genel bir güvenlik tavsiyesi olarak PatchTack, web sitelerinin güvenli dosya yüklemelerini, SQL sorgu sanitasyonunu ve rol tabanlı erişim kontrollerini zorladığını önermektedir.
Patchstack güvenlik açıklarını buldu ve 31 Mart'ta WPLM'lerin geliştiricisi Vibe Themese'yi konuların bilgilendirdi. Nisan ve Kasım ayları arasında, geliştirici tüm güvenlik açıklarını düzeltene kadar birden fazla yamayı test etti.
Vibe temaları, teslim edilen düzeltmenin tüm hataları adreslemesinden emin olmak için PatchTack ile işbirliği yaptı.
Korunmasız eklentileri yüklemek için kullanılmış hunk companion wordpress eklentisi
Litespeed Cache WordPress eklenti hatası, bilgisayar korsanlarının yönetici erişimi almasına izin verir
Apache, Mina'daki kritik kusurları uyarıyor, devasa, trafik kontrolü
WPForms Hatası, milyonlarca WordPress sitesinde şerit geri ödemelerine izin verir
Yeni Nachovpn Saldırısı, kötü amaçlı güncellemeleri yüklemek için Rogue VPN sunucularını kullanıyor
Kaynak: Bleeping Computer