Patchstack araştırmacıları, Fancy Product Designer’da iki yeni açık buldu. Radykal tarafından geliştirilen WordPress eklentisinde 20.000’den fazla aktif kullanıcı bulunuyor. Bu açıklar, uzaktan kod yürütme, keyfi dosya yükleme ve daha fazlasına olanak tanıyor.

Popüler bir WordPress eklentisi, tehdit aktörlerine dosya yükleme, veritabanını değiştirme ve etkilenmiş web sitelerini ele geçirme olanağı sağlayan iki kritik zayıflık taşıdığı ortaya çıktı. Dahası, bu açıklar geliştiricilere bildirilmesine rağmen kodlarda yarım yıldan fazla süre kaldı ve aynı zamanda yeni versiyonlar üzerinde çalışılıyordu. Patchstack’ten siber güvenlik araştırmacıları, Mart 2024 sonlarında Fancy Product Designer’da iki zayıflık keşfettiklerini iddia ediyor. Radykal tarafından geliştirilen bu premium web sitesi oluşturucu eklentisi, kullanıcıların tişörtler, kupa bardaklar veya posterler gibi ürünleri çeşitli tasarım araçları ve e-ticaret mağazaları için seçeneklerle özelleştirmesine olanak tanırken, 20.000’den fazla satışa ulaşmıştı.

Tedarikçilerin sessizliği
Bu açıklar sırasıyla CVE-2024-51919 (önem derecesi 9.0) ve CVE-2024-51818 olarak izlenir. İlki kimlik doğrulamasız keyfi dosya yükleme açığı iken diğeri kimlik doğrulamasız bir SQL enjeksiyonu hatasıdır. İlk açık, uzaktan kod yürütme (RCE) sağladığı için bazı senaryolarda tam web sitesi ele geçirmeye yol açabilir. Patchstack, Mart sonlarında sorunları tedarikçiye bildirdiğini, ancak şirketten hiçbir yanıt almadığını iddia ediyor. Bu arada Radykal eklentinin yeni sürümleri üzerinde çalışıyor ve 20 sürüm yayınladı. En sonuncusu iki ay önce çıkarıldı (6.4.3) ve hala kritik güvenlik açıklarını taşıyor.

Kullanıcıları riskler konusunda uyarabilmek ve soruna dikkat çekebilmek amacıyla Patchstack, bu hataları veritabanına ekledi ve Fancy Product Designer’ı kullanan web sitelerini hedef alacak bir saldırı geliştirmek için yeterli teknik bilgi içeren detaylı bir blog yayınladı. Bu tür durumların önüne geçmek için web yöneticileri, izin verilen dosya uzantılarının bir beyaz liste oluşturmalı ve tehdit aktörlerinin istedikleri her şeyi yüklemesini engellemelidir. Patchstack, kullanıcıların SQL enjeksiyon saldırılarına karşı korunmak için bir sorgu için kullanıcı girişlerini temizlemesi gerektiğini de ekledi.

Kaynak: BleepingComputer