Bir milyondan fazla WordPress sitesine yüklenen W3 toplam önbellek eklentisinde ciddi bir kusur, saldırganlara bulut tabanlı uygulamalardaki meta veriler de dahil olmak üzere çeşitli bilgilere erişim sağlayabilir.
W3 Total Cache eklentisi, bir web sitesinin hızını optimize etmek, yükleme sürelerini azaltmak ve genellikle SEO sıralamasını iyileştirmek için birden fazla önbellekleme tekniği kullanır.
Kusur, CVE-2024-12365 olarak izlenir, geliştiricinin ürünün en son sürümünde bir düzeltme yayınlamasına rağmen, yüz binlerce web sitesi hala yamalı varyant yüklemek zorundadır.
WordFence, güvenlik sorununun, en son sürümlerde, 2.8.2'ye kadar olan tüm sürümlerde 'IS_W3TC_ADMIN_PAGE' işlevindeki eksik bir özellik kontrolünden kaynaklandığını belirtiyor. Bu hata, eklentinin güvenlik nonce değerine erişim sağlar ve yetkisiz eylemler gerçekleştirir.
Saldırgan kimlik doğrulanıyorsa ve en azından abone düzeyinde, kolayca karşılanan bir duruma sahipse, güvenlik açığından yararlanmak mümkündür.
CVE-2024-12365'in sömürülmesinden kaynaklanan ana riskler şunlardır:
Bu kusurun gerçek dünya etkisi ile ilgili olarak, saldırganlar web sitesinin altyapısını diğer hizmetlere vekaleten vekaleten kullanabilir ve toplanan bilgileri daha fazla saldırı yapmak için kullanabilir.
Etkilenen kullanıcılar için en iyi eylem, güvenlik açığını ele alan W3 Total Cache sürümü 2.8.2'nin en son sürümüne yükseltmektir.
WordPress.org'dan istatistikleri indirin, geliştiricinin en son güncellemeyi yayınladıktan sonra kabaca 150.000 web sitesinin eklentiyi yüklediğini ve yüz binlerce WordPress sitesini hala savunmasız bıraktığını belirtin.
Genel öneriler olarak, web sitesi sahipleri çok fazla eklenti kurmaktan kaçınmalı ve kesinlikle gerekli olmayan ürünleri atmalıdır.
Ayrıca, bir web uygulaması güvenlik duvarı, sömürü girişimlerini tanımlayabileceği ve engelleyebileceği için faydalı olabilir.
SAP, NetWeaver Uygulama Sunucularındaki kritik güvenlik açıklarını düzeltir
Satılmamış kritik kusurlar, süslü ürün tasarımcısı WordPress eklentisini etkiler
Premium WPLMS WordPress eklentileri yedi kritik kusur
Korunmasız eklentileri yüklemek için kullanılmış hunk companion wordpress eklentisi
Mitel Micollab Zero-Day Flaw, Konsept Kanıtı Alır
Kaynak: Bleeping Computer