WordPress platformunda kullanılan WPLMS premium teması için gerekli olan iki eklentide yedi kritik güvenlik açığı tespit edildi. Eğitim kurumları, şirketler ve çevrim içi eğitim sağlayıcıları tarafından tercih edilen bu tema, WooCommerce entegrasyonu ile kurs satışı imkânı da sunuyor.
Patchstack güvenlik araştırmacıları, WPLMS ve VibeBP eklentilerinde toplam 18 güvenlik sorunu belirledi ve son raporlarında en önemli 10 tanesini sundu.
WPLMS temasındaki açıkların özeti şu şekilde;
- CVE-2024-56046 (CVSS 10.0): Kimlik doğrulama gerektirmeden kötü amaçlı dosyaların yüklenmesine izin vererek uzaktan kod çalıştırma (RCE) riski yaratıyor.
- CVE-2024-56050 (CVSS 9.9): Abone yetkilerine sahip doğrulanmış kullanıcıların dosya yükleme kısıtlamalarını aşmasına olanak tanıyor.
- CVE-2024-56052 (CVSS 9.9): Abonelere benzer, ancak öğrenci rollerine sahip kullanıcılar tarafından da sömürülebilir.
- CVE-2024-56043 (CVSS 9.8): Kimlik doğrulama gerektirmeden herhangi bir rol, hatta yönetici rolüyle kayıt yapılmasına izin veriyor.
- CVE-2024-56048 (CVSS 8.8): Düşük yetkili kullanıcıların, zayıf rol doğrulama yoluyla yönetici gibi üst rollere yükselmesine olanak tanıyor.
- CVE-2024-56042 (CVSS 9.3): Saldırganların hassas verileri çıkarmak veya veritabanını tehlikeye atmak için kötü niyetli SQL sorguları enjekte etmesine olanak tanıyor.
- CVE-2024-56047 (CVSS 8.5): Düşük yetkili kullanıcıların SQL sorguları çalıştırmasına izin vererek veri bütünlüğü veya gizliliğini tehlikeye atabiliyor.
VibeBP için açıklar:
- CVE-2024-56040 (CVSS 9.8): Kimlik doğrulama gerektirmeden yetkili kullanıcılar olarak kayıt yapılmasına izin veriyor.
- CVE-2024-56039 (CVSS 9.3): Yetersiz şekilde temizlenmiş girdilerden yararlanarak kimlik doğrulaması yapılmamış kullanıcıların SQL sorguları enjekte etmesine olanak tanıyor.
- CVE-2024-56041 (CVSS 8.5): Düşük yetkili doğrulanmış kullanıcılar tarafından SQL enjeksiyonu yapılarak veritabanı bilgileri tehlikeye atabiliyor.
WPLMS kullanıcılarının eklentilerini 1.9.9.5.3 veya daha yeni sürümlere, VibeBP kullanıcılarının ise 1.9.9.7.7 veya daha yeni sürümlere yükseltmeleri gerekiyor. Patchstack, güvenli dosya yüklemelerinin sağlanmasını, SQL sorgusu temizliğinin yapılmasını ve rol tabanlı erişim kontrollerinin uygulanmasını öneriyor.
Patchstack, bu açıkları 31 Mart’ta WPLMS’nin geliştiricisi Vibe Themes’e bildirdi. Nisan ve Kasım ayları arasında geliştirici, birden fazla yama test etti ve tüm açıkların kapatıldığından emin oldu. Vibe Themes, Patchstack ile iş birliği yaparak tüm sorunların çözüldüğünü doğruladı.