Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-434

CVE-2020-25213

WordPress File Manager eklentisinde kimlik doğrulamasız PHP kodu yükleme ve çalıştırma

WordPress File Manager Plugin

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2240 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, internet üzerinden herhangi birinin web sitenizi ele geçirmesine izin verebilir ve gerçek saldırılarda kullanılmıştır. Ele geçirilen site, müşteri verilerinin çalınması, itibar kaybı ve hizmet kesintisi riski taşır. Eklentiyi kullanan siteler için güncelleme bir an önce yapılmalıdır.

ÖzetTürkçe

WordPress için File Manager (wp-file-manager) eklentisinin 6.9 öncesi sürümlerinde, güvensiz bir elFinder örnek bağlayıcı dosyası .php uzantısıyla yeniden adlandırılmaktadır. Bu nedenle uzaktan saldırganlar, elFinder'ın upload (veya mkfile ve put) komutlarıyla wp-content/plugins/wp-file-manager/lib/files/ dizinine rastgele PHP kodu yazıp çalıştırabilir. Açık, Ağustos ve Eylül 2020'de aktif olarak istismar edilmiştir ve CISA'nın bilinen istismar edilen açıklar (KEV) listesindedir. Eklentinin etkilenen sürümünü kullanan tüm WordPress siteleri risk altındadır.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan bir saldırgan sunucuda keyfi PHP kodu çalıştırarak siteyi ve sunucudaki verileri tamamen ele geçirebilir. Bu durum veri hırsızlığına, sitenin değiştirilmesine ve kalıcı arka kapı yerleştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The File Manager (wp-file-manager) plugin before 6.9 for WordPress allows remote attackers to upload and execute arbitrary PHP code because it renames an unsafe example elFinder connector file to have the .php extension. This, for example, allows attackers to run the elFinder upload (or mkfile and put) command to write PHP code into the wp-content/plugins/wp-file-manager/lib/files/ directory. This was exploited in the wild in August and September 2020.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. File Manager (wp-file-manager) eklentisini 6.9 veya daha yeni bir sürüme güncelleyin. Genel öneri
  2. Satıcının talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
  3. Güncelleme yapılamıyorsa eklentiyi geçici olarak devre dışı bırakın veya kaldırın. Genel öneri
  4. wp-content/plugins/wp-file-manager/lib/files/ dizininde tanımadığınız PHP dosyaları olup olmadığını kontrol edin; bulursanız sitenin ele geçirildiğini varsayıp olay müdahalesi yapın. Genel öneri

Ek önlemler

  • Kullanılmayan eklentileri kaldırın ve kurulu eklentileri düzenli olarak güncel tutun. Genel öneri
  • Web sunucusunda eklenti ve yükleme dizinlerinde PHP dosyalarının çalıştırılmasını engelleyin. Genel öneri
  • Erişim günlüklerinde eklentinin elFinder bağlayıcısına yapılan şüpheli istekleri izleyin. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kullanın ve düzenli yedek alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WordPress File Manager Plugin Sürüm belirtilmemiş –

Kaynaklar11 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.