ThemeREX Addons wordpress eklentisinde keşfedilen sıfır günlük zafiyeti ile saldırganlar admin yetkisine sahip kullanıcı oluşturabildiği tespit edildi.
WordPress’in güvenliği üzerine çalışan Wordfence firmasının tahminlerine göre , eklenti şu anda en az 44.000 web sitesinde yüklü durumda.
WordPress eklentisinin arkasındaki şirket olan ThemeRex, wordpress mağazalarında satışa sunulan 466’dan fazla ticari WordPress temasına ve şablonuna sahip durumda.
Zafiyet, eklenti tarafından kaydedilen REST-API den kaynaklanıyor, herhangi bir PHP fonksiyonun yönetici izinlerine sahip bir kullanıcıdan gönderilip gönderilmediğini kontrol etmeden çalıştırması ile ortaya çıkıyor.
Wordfence tehdit analisti Chloe Chamberland, “Bu kusur, saldırganların yönetici hesaplarına enjekte edebilelecek ” uzaktan kod yürütme ” kurusu ile eklentinin yüklü olduğu bir sitede uzaktan kod çalıştırmasını olanak sağlayabiliyor.” dedi.
Güvenlik araştırma firması son olarak “ eğer bu eklentiyi kullanıyorsanız derhal kaldırmalısınız “ şeklinde açıklamalarda bulundu.
Kaynak