Wordpress Açığı - Battı Balık Yan Gider

wordpress bugpointy kapsamında Olsa Bildiri yapanlara Küçük Mevla Verilse.
Ve Yıllık 1 tl Gibi Bir Üçret Alsa Wordpress cms Sistemi Bu Duruma Düşmez.

Ben bu güne kadar bazı dönüşler yaptım ve ulaşabildiğim en etkili olacak kişileri buldum. Bana ücret vermesinler hatta ben ücret veririm yıllık hiç sorun değil. Yeter ki beleşcieler yüzünden işini hakkıyla yapanlar(yapmaya çalışanlar diyeyim) da rezil olmasın hocam.

Arkadaşlar sistemi yermek yerine bu açığın ne olduğu ile ilgili bilgi verseniz daha iyi olmaz mı ? Benim bildiğim kadarıyla 4.7.1 sürümünde bir xss ve sql injection açığı var idi onuda 4.7.2 sürümünde düzelttiler onun dışında herhangi bir açık durumu bulunmadı, sürekli wordpress'in blog ve developer sayfalarına göz atarım günlük, şuan wmaracin da bu konuları görünce dedim ne oluyor ?
Konuya bi girdim baştan sonra wordpressi sevenler ile sevmeyenler arasında laf dalaşından başka birşey yok.

Bu açıktan zarar gören arkadaşlar hangi dosyadan, hangi yapıdan açık oluşmuş, nasıl girilmiş vb konularda yaşadıkları sorunu anlatırlarsa, zarar görmemiş arkadaşlar da önceden önlemlerini alırlar.

Açıksız, hacklenemeyecek sistem yoktur arkadaşlar zaten bunun bilincinde olmanız lazım yıllardır bu sektörde iseniz. Bunu bilmiyorsanız şayet sektörde havada kalmışsınız diyebilirim. Şuan google'de hacklense onuda mı yereceksiniz ? aman be nasıl bir arama motoruymuş mu diyeceksiniz ? yapmayın arkadaşlar, bu sektörde olmayan birisi bu yazdıklarınızı yazsa anlarım ama bu sektörün içinde söylediklerinize göre 10 yılı aşkındır bu sektörde olmanıza rağmen hacklenemeyecek sistem arayışında iseniz çok yanlış sektördesiniz...

koskoca google, facebook, twitter in açığı var küçüçük çocuklar açıklarını bulup bildiriyorlar adamlar kapatıyor hayır wp nin neden olmasın neden bu kadar büyüttünüz anlamadım

twitter uber bile wordpress kullanıyor.
****hubda dahil ****huba bu acıgı bildiren bir kişi 1500 dolar ödül aldı
temizinden 7 bin tl cepte :D
bugpointy kapsamında

Bence sorun insanların burada bile görüldüğü üzere wordpress'i CMS sanması. Wordpress CMS değil arkadaşlar blog yazılımı. Adam gibi üyelik paneli dahi olmayan yazılımdan CMS olur mu?

Ha alırsınız cart eklentisi curt eklentisi derken bir sürü eklenti kurarsınız ben bundan shop yaptım, forum yaptım dersiniz. Sonra bir sürü açıkla, upgrade sorunlarıyla uğraşırsınız.

Wordpress blog olarak tasarlanmış eski bir yazılım olduğu için doğru düzgün bir mimarisi yok. Built-in olarak gelmesi gereken en temel şeyler bile yok. SEO veya cache gibi en basit şeyler için bile eklenti kurmanız gerekir. Popüler olmasının nedeni gelişmiş olması değil basit olması.

Önerin nedir derseniz düz blog olarak alın kullanın. Açıklar çıkar, kapatılır çok da dert olmaz. Ama tutup da buna CMS muamelesi yapmayın, shop kurmayın, ne bileyim forum yapmayın. Başınız ağrır.

UNKEF Ben artı yönlerini açıkladım buyurun sizde FİYASKO dediğiniz yönleri açıklayın.

Ticari anlamda bir kazanımım yok wordpress ile alakalı, evet sitelerimden bir çoğu wordpress çünkü şuan güven veren tek yazılım bu.

Sanki Dünya harikası gibi anlatmıyorum ama bir CMS harikası olduğu reddedilemez bir gerçek.

Burada övgü nedeni sadece ücretsiz olması değil. Kaldı ki ücretli yaptıracak olsanız, buyurun dengi bir sistemi ücreti ile yapabilen çıkıyor mu? Bakın ne kadar bir bütçe gerekeceğinden bahsetmiyorum, yapabilen var mı, çıkacak mı diye soruyorum. Ayrıca altın değerinde değil altından daha değerli bir sistem bunu kimse inkar edemez.

Wordpress'i basit işleri için kullanan webmaster'lar var diye bu wordpress'in basit olduğu anlamına gelmez.

Wordpress gayet büyük çaplı işler içinde kullanılabilir. Bu ayrıca wordpress'i varsayılan durumu ile kullanacağınız anlamına gelmez. Wordpress açık kaynaklı bir sistem olması dolayısı ile istenirse kendi ekibiniz tarafından geliştirilip gerekli optimizasyonlar yapılabilir.

Sıfırdan bir sistem yazmaktansa, var olan wordpress'i geliştirmek çok daha akıllıca olacaktır.
Burada herkes beleşe kaçıyor, wordpress kullanıyor diyorsun. Yahu burası webmaster forumu.
Geliştirmek için, fikir alışverişi yapmak için konular açtım diyorsun fakat sen yanlış yerde yanlış iş peşindesin burası bir webmaster forumu, web master demek web yöneticisi demek buradaki insanlar yönetim ile ilgilenirler. Burası yazılım forumu değil. Geliştirme işi yazılımcının işidir. Web yöneticisi geliştirmez, var olan sistemi yönetir.

Ayrıca ben şu siteler kullanıyor, bu siteler kullanıyor diye savunmuyorum. Sistemi kimin kullandığının bir önemi yok benim için sistemin ne amaçla, nasıl kullanıldığı önemli.


Bakın AMP denen bir şey çıktı, daha millet bu şeyin ne olduğunu anlamadan, geliştiriciler hemen eklentisini yaptı ve insanlar bir kaç tıklama ile sitelerini AMP uyumlu hale getirdiler.

Millet ne yapsın kıytırık yazılımlara para mı döksün? Her bir özellik için ek ücret mi ödesin. Yazılım dan anlamayan kişiler içinde, yazılım konusunda profesyonel olan kişiler içinde wordpress hazır bir framework dur ve nimet dir nimet.

Açıkları konusuna gelince, emin olun şuan satmaya çalıştırğınız buzzy scripti bile defalarca hata düzeltmeleri ve açıklar nedeniyle güncellendi, belki şuan wordpress den çok daha fazla açığı mevcuttur. Fakat wordpress gözde bir sistem olduğu ve milyonlar tarafından kullanıldığı için açık arayan kişide wordpress'e ağırlık veriyor. Kim uğraşsın buzzy nin açığıyla.

Burada buzzy scripti örnek olarak verdim sadece farklı taraflara çekilmesin.


microsoft'un işletim sistemlerinde bile yıllar sonra halen açıklar çıkıyor. Ücretli satılan bir sistemin 12-13 yıl sonra bile halen açıklar için güvenlik güncellemeleri yapılıyor. Hele XP'nin açıklarını kapat kapat bitiremedi artık kapatmayıda bıraktı. Açıklarla başa çıkamadıkça sistemi evirip çevirip yeniliyor tekrar piyasaya sürüyor.


Herkesin kesin olarak güvendiği Apple peki?

Kimsenin hack yapılamaz dediği cloud sistemini uçurdular. Bakın milyon dolarlık bir firmadan bahsediyoruz.
Peki ya iphone tuş kilidi olayını hatırlıyormusunuz. Kırılmaz dene tuş kilidini FBI çözemiyoruz diye apple'dan yardım istedi, McAfee getirin beleşe çözeyim 1.5 saatimi alır dedi. Sonra FBI başka bir firma ile anlaştı ve ücreti ile kırılmaz denen iphone'u hack yaptı.


Yani anlatmak istediğim birşey ücretli olunca güvenli olacak diye bir şey yok, tam tersi bir şey açık kaynak kodlu ise diğerlerine nazaran daha güvenlidir. Linux içinde aynı şey söz konusu örnek.


Uzun lafın kısası buyurun getirin dengi bir sistemi bizde övülmesi gereken wordpress'i övmeyi bırakalım.


Hatalar ve yavaşlık konusunda tekrar söylüyorum sorun kullanıcı taraflı, wordpress istendiğinde gayette hızlı bir hale getirilebilir. Ben wordpress te şimdiye kadar hiç hız veya kaynak sorunu çekmedim. Gerekenleri yaparsa kimsede çekmez.

Hata konusunda da şunu söyleyim, durduk yere wordpress hata VERMEZ, hata ile karşılaşmanızda %90 farklı sebepler yatar.

Ayrıca bazı arkadaşların yıllardı kapatamadılar açıkları demesine de şöyle bir cevap vermek istiyorum.
Wordpress geliştiricileri şimdiye kadar kendi açıklarından çok eklentilerin açıklarıyla uğraştılar. Eklentiler ise wordpress'in değil kullanıcının sorumluluğunda olan bir şey.

Bir şeyin paralı olması, lisanslı olması o şeyin güvenli olduğu anlamına gelmez.

Yani sonuçta bir kod dizisi, illaki bir yerde bir boşluk olacak. Eğer güncellemeleri takip etseniz bundan etkilenmezsiniz. Bir açık varsa zaten bir kaç saat içerisinde direk fark ediliyor.

Bakın hala neler yazmışsınız diyorum cevap vermeyeyim ama duramıyorum ki :)
Beğenmediğiniz Wordpress ile ben geçici şifre korumalı giriş sistemi yazdım. Sen sitenin güvenliklerini kapatmazsan, verilerini ortalık yerde bırakırsan her türlü sisteme erişimi sağlarlar.

En basit pagenavi için bile eklenti kuranları görüyorum. Adam sitesine logo yükleyecek ( hele ki upload yapılan bir çok eklentide açık %50 pay vardır ) eklenti kuruyor.

Sen bilgili ve ilgili değilsen sisteme suç bulmana veya çamur atmana karşıyım ben.

Wordpress'in güncellemelerini takip ederseniz her şey açıkca yazıyor orada, wordpresse entegre bir geliştirme arayüzü yapılıyor ve bu production ortamında test ediliyor, tabi bu benim tercih ettiğim bir şey değil ama aslında bu birazda sizin suçunuz, wordpress kullanıcıların eğer kullanılmayacaksa wp-json arayüzünü kapatmalarını söylüyor. Kapatmadığınız taktirde böyle şeylerle karşılaşmanız normal. Wordpress bu forumdaki 3-5 sözde yazılımcı arkadaşın geliştirdiği bir sistem değil ki öyle geniş çaplı bir açık olsun, bu tamamen sizin hatanız, htaccess dosyasına yazılacak 3 satır ile wp-json'a gelen istekleri geri çevireceksiniz bu kadar.