WordPress Formcraft Eklenti Açığına Dikkat!

Aslında böyle bir yazı yazma gereksinimi hiç duymuyordum ama can sıkıntısından birşeyler karalamak istedim. Benim başıma gelen bir konu olduğu için, sizede faydası olacağını tahmin ediyorum. WordPress kullanıcısıysanız belkide formcraft isminde bir eklenti kullanmış olabilirsiniz. Şahsen ben çok severek kullandığım bir eklentidir. Zamanında codecanyon.net adresinden lisanslı olarak satın aldığım bir eklentidir.

Hayal ettiğim bir çok form’u bu eklenti ile tasarlayıp, wordpress sitelerimde rahatlıkla kullanabiliyorum. Gel gelelim 2016.02.15 tarihinde bu eklentide bir açık çıktı. Bu açıktan yola çıkarak ufak bir exploit ile uzaktan dosyalar sizin sitenize upload edilebiliyor. Buradan sonrasını kestirmeniz çokta zor değil. İranlı bir kaç budala bu açığı kullanarak benim bir siteme shell yüklemiş ama tam istediği şeyi yapamamış. Muhtemelen safemode’a takılmıştır.

Şu şekilde uzaktan dosya yüklemesi yapıyorlar;

<form method="POST" action="
[Target]/wp-content/plugins/formcraft/file-upload/server/content/upload.php
" enctype="multipart/form-data">
<input type="file" name="files[]"><button> Yolla</button>
</form>

Her neyse.. Ben durumu fark ettim ve araştırma yaparak açık olduğunu tespit ettim. Eğer sizde bu eklentiyi kullanıyorsanız ufak bir önlem alabilirsiniz. Dosya yükleme kısmında açık olduğundan, ftp ile hosting hesabınıza giriş yapıp,

“/wp-content/plugins/formcraft/” dizininin içinde bulunan “file-upload” klasörünü silmeniz art niyetli davranışların önüne geçmenize olanak sağlayacaktır. Ayrıyeten eklentinin dosya yükleme özelliğini kullanıyorum diyorsanız, istek yapmanız durumunda kodlarda ufak bir değişiklik yapıp açığın giderilmesini sağlayabilirim.

Not: Lisanslı sürüm kullanıyorsanız güncelleme yapabilirsiniz. Güncelleme muhtemelen gelmiştir ben incelemedim.

Admin
Admin

Bilgiye ve eğitime önem veren, paylaşmayı seven bir insan.

8 Yorumlar
Tümünü göster En Yararlı En Yüksek Puan En Düşük Puan Yorumunuzu ekleyin
  1. Teşekkürler 🙂

    bir çoğumuz wordpress tabanlı site kullanıyoruz . açıklar bütün emeğimizi mahvedebiliyor .

  2. Sayenizde açıktan kurtuldum site güvenligi için önemli bir bilgi teşekkürler

  3. Hocam elinize sağlık zaten wordpress eklentilerinin çoğunda açık var, önemli olan böyle sizin gibi işinin ehli kişilerin bu açıkları fark edip insanlara haber vermesidir.

  4. Merhabalar, güzel bir yazı paylaşımı sağlamışsınız. Hem anlamlı hem kalite ve dahası da akıcılıkla beraber sade olmuş bu fazlasıyla hoşuma gitti. İlerleyen süreçlerde başarılarınızın daha da devamını dilerim.

    İyi günler.

  5. bende açık yokmuş yazı biraz eski ama olsun 🙂 açıkta olabilirdi Bilgilendirme için teşekkür ederim

  6. Sitemde bu eklentiyi kullanıyordum sayenizde hemen farkettim ve eklentiyi kaldırdım. Bilgilendirme için teşekkürler.

  7. Hocam tam olarak böyle bir eklenti arıyordum. iletişim formundan memnun değilim. Açık durumu mevzusunu da bonus olarak kabul ediyorum. İyi çalışmalar

  8. hocam gerçekten tşk ederim bu açık yüzünden sitemi silmek zorunda kaldım yeniden kurdum tşkler

Tuncay için bir yanıt yazın Cevabı İptal Et

Translate »
Kılavuz Yazılım
Logo