5 milyon aktif kurulum olan WordPress siteleri için popüler bir veri geçişi eklentisi olan hepsi bir arada WP Migration, saldırganların hassas site bilgilerine erişmesine izin verebilecek kimlik doğrulanmamış erişim belirteci manipülasyonu yoktur.
All-in-One WP Geçişi, teknik olmayan ve deneyimsiz kullanıcılar için kullanıcı dostu bir WordPress site taşıma aracıdır ve veritabanlarının, medya, eklentilerin ve temaların sorunsuz ihracatına yeni bir varış noktasında geri yüklenmesi kolay olan tek bir arşive izin verir.
PatchStack, eklentinin satıcısı Servmask'ın sunduğu çeşitli premium uzantıların hepsinin, init işlevinde izin ve nonce validasyondan yoksun olan aynı savunmasız kod snippet'ini içerdiğini bildirir.
Bu kod, söz konusu üçüncü taraf platformlarını kullanarak veri taşıma prosedürlerini kolaylaştırmak için oluşturulan kutu uzantısı, Google Drive uzantısı, bir sürücü uzantısı ve Dropbox uzantısında bulunur.
CVE-2023-40004 olarak izlenen kusur, kimlik doğrulanmamış kullanıcıların etkilenen uzantılardaki jeton yapılandırmalarına erişmesine ve manipüle etmesine izin vererek, potansiyel olarak saldırganların web sitesi taşıma verilerini kendi üçüncü taraf bulut hizmeti hesaplarına yönlendirmesine veya kötü amaçlı yedeklemeleri geri yüklemelerine izin verir.
CVE-2023-40004'ün başarıyla yararlanmasının birincil açılışı, kullanıcı detaylarını, kritik web sitesi verilerini ve tescilli bilgileri içerebilecek bir veri ihlalidir.
Güvenlik sorunu, hepsi bir arada WP göçünün sadece site göç projeleri sırasında kullanılması ve normalde başka bir zamanda aktif olmaması gerektiğinden biraz azaltılmıştır.
Kırık erişim kontrolü kusuru, 18 Temmuz 2023'te PatchTack’in araştırmacısı Rafie Muhammad tarafından keşfedildi ve Servmask'a sabitleme için bildirildi.
Satıcı, 26 Temmuz 2023'te güvenlik güncellemelerini başlattı ve başlangıç işlevine izin ve nonce validasyonu getirdi.
Etkilenen premium üçüncü taraf uzantılarının kullanıcılarına aşağıdaki sabit sürümlere yükseltmeleri tavsiye edilir:
Ayrıca, kullanıcıların (ücretsiz) temel eklentinin en son sürümünü kullanmaları önerilir, hepsi bir arada WP Migration v7.78.
Jüpiter X Core WordPress eklentisi, bilgisayar korsanlarının Siteleri Kaçak'a İzin Verebilir
WordPress Ninja Forms Eklenti Kalıp Hacker'ların Gönderilen Verileri Çalıştırmasına İzin Verir
Norveç hükümeti BT sistemleri sıfır gün kusurunu kullanarak hacklendi
Kritik WordPress WooCommerce Payments Hatası'ndan yararlanan bilgisayar korsanları
WordPress AIOS eklentisi, 1m Siteler Kayıtlı düz metin şifreleri tarafından kullanılır
Kaynak: Bleeping Computer