TƏHLÜKƏSİZLİK

Rabitə və Yüksək  Texnologiyalar Nazirliyi yanında Elektron Təhlükəsizlik Mərkəzi  dünyada ən çox istifadə edilən, açıq qaynaq kod şəkilində istifadəçilərin ödənişsiz  istifadəsi üçün nəzərdə tutulan WordPress bloq platforması və məzmunun idarə olunması sistemi haqqında faydalı ola biləcək tövsiyələr təqdim edib.

Xeberler.az-ın məlumatına görə, qeyd edilib ki, WordPress – xüsusilə sıfırdan proqram yazmaq istəməyən, lakin öz veb saytını qurmaq istəyən şəxslər üçün nəzərdə tutulub.  Açıq mənbə kodlu proqram olduğundan hər kəs ondan yararlana bilər.

WordPress-in üstünlükləri:

WordPress çox asanlıqla və sadə üsulla öz veb səhifənizi yaratmağa imkan verir;

Yaratdığınız bu səhifə və ya saytı kütləyə təqdim etməyinizə şərait yaradır;  

Yeni təcrübə qazanmağınızı təmin edir;

Bu sistemin nüvəsi çoxsaylı könüllü proqramçılar tərəfindən hazırlanıb və daim dəstəklənməkdədir;

Eyni zamanda WordPress ilə quracağınız saytda istifadə etmək üçün minlərlə pulsuz mövzu (theme) və qoşmalar (plugin) əlavə edə bilmənizi təmin edir;

Statistikalar göstərir ki, hər yeni 100 saytdan 70-i WordPress platforması üzərində qurulur. Bu da WordPress-in üstünlüklərini bir daha sübut edir.

Buna baxmayaraq, hər bir texnologiya kimi WordPress də bəzən təhlükələr qarşısında aciz qalır. Belə ki, WordPress saytlarında aşkar olunan təhlükəsizlik zəiflikləri (vulnerability) nəticəsində yalnız bir sayt deyil, bu terminal üzərində olan bütün saytlar təhlükə qarşısında qala bilər.

Yuxarıda qeyd olunan statistikalara əsasən belə nəticəyə gəlmək olar ki, WordPress platformalarında qurulmuş veb saytların tez-tez kiberhücumlara məruz qalması riski də artır.

Bu cür problemlərin qarşısının alınması üçün WordPress-lə bağlı təhlükəsizlik yeniliklərini daim izləmək, yeni zəifliklərdən dərhal xəbərdar olmaq, aşkar olunan zəiflikləri vaxtında aradan qaldırmaq və sistemi yeniləmək tövsiyə olunur.

WordPress platformasında veb sayt hazırlamış istifadəçilər üçün 2015-ci ildə bu platformada aşkar olunmuş zəifliklərin siyahısını təqdim edir və öz internet informasiya ehtiyatlarının bu zəifliklərə qarşı yoxlanmasını tövsiyə edirik:
 
Ən son aşkar olunmuş zəifliklər:

2015-09-15     WordPress <= 4.3 - Authenticated Shortcode Tags Cross-Site Scripting (XSS)

2015-09-15     WordPress <= 4.3 - User List Table Cross-Site Scripting (XSS)

2015-09-15     WordPress <= 4.3 - Publish Post and Mark as Sticky Permission Issue

2015-08-05     WordPress <= 4.2.3 - Timing Side Channel Attack

2015-08-05     WordPress <= 4.2.3 - Widgets Title Cross-Site Scripting (XSS)

2015-08-05     WordPress <= 4.2.3 - Nav Menu Title Cross-Site Scripting (XSS)

2015-08-05     WordPress <= 4.2.3 - Legacy Theme Preview Cross-Site Scripting (XSS)

2015-ci ildə çıxan Plugin açıqları (Vulnerabilities)

2015-12-18     mTouch Quiz <= 3.1.2 - Multiple Vulnerabilities XSS & CSRF

2015-12-16     Admin Management Xtended <= 2.4.0 - Privilege Escalation

2015-12-09     YAWPP <= 1.2.2 - Unauthenticated Persistent Cross-Site Scripting (XSS)

2015-12-11  WP Easy Poll <= 1.1.3 - Cross-Site Scripting (XSS) & CSRF

2015-12-02     Ultimate Member <= 1.3.28 - Unauthenticated Reflected Cross-Site Scripting (XSS)

2015-12-02     Role Scoper <= 1.3.66 - Unauthenticated Reflected Cross-Site Scripting (XSS)

2015-12-04     Cool Video Gallery <= 1.9 - Authenticated Command Injection
 

2015-ci ildə aşkar olunmuş mövzu (theme) zəiflikləri:
 
2015-08-03     Builder Theme <= 1.4.0 - PrettyPhoto DOM Cross-Site Scripting (XSS)

2015-06-26     Multiple Themes - Privilige Escalation

2015-06-18     Salem Theme <= 1.5.5 - PrettyPhoto DOM Cross-Site Scripting (XSS)

2015-06-16     Salient Theme <= 4.9 - DOM Cross-Site Scripting (XSS)

2015-09-08     uDesign Theme 1.8.0-2.7.9 - DOM Cross-Site Scripting (XSS)

2015-05-27     ThemeMakers Themes - Information Disclosure 

2015-05-14     Modern Theme <= 1.4.1 - DOM Cross-Site Scripting (XSS)

 
Kiberhücumlarda ən çox istifadə olunan zəifliklər:
 
 2014-11-25     WordPress <= 4.0 - CSRF in wp-login.php Password Reset

2015-03-11     WordPress SEO by Yoast <= 1.7.3.3 - Blind SQL Injection

2015-06-11     WordPress 4.1 - 4.1.1 - Arbitrary File Upload

2014-11-30     WordPress <= 4.0 - Server Side Request Forgery (SSRF)

2014-11-20     WordPress <= 4.0 - Long Password Denial of Service (DoS)

2014-11-30     WordPress 3.9, 3.9.1, 3.9.2, 4.0 - XSS in Media Playlists

2015-08-04     WordPress <= 4.2.3 - wp_untrash_post_comments SQL Injection

Məltəm Talıbzadə