Rehber
Açık kayıtlarını okumak, puanı yorumlamak ve bir kayıt çıktığında ne yapacağınızı bilmek için yazdığımız yazılar. Her yazı resmî belgelere dayanır ve sonunda kaynakları listelenir.
Sitenizin bir eklenti açığıyla ele geçirildiğinden şüpheleniyorsanız ilk savunma adımları ve kişisel veri sızdıysa KVKK’nın 72 saatlik bildirim kuralı.
Puanı okumakAktif istismar ve kavram kanıtı, puandan önce bakılacak iki etiketCISA’nın CVE kayıtlarına eklediği SSVC alanları ne söyler; WordPress kayıtlarında kavram kanıtı ve aktif istismar oranı ve bu etiketlerle öncelik sırası kurmak.
Site sahibi içinWordPress.org dizininde kapatılan eklenti, uyarıyı görünce ne yapmalıWordPress.org’da kapatılan eklentinin uyarısı, 60 gün kuralı, kapatmadan sonra da yeni açık kaydı çıkmaya devam etmesi ve sitenizde kuruluysa izlenecek yol.
Açık türleriDosya yükleme açıkları, ortanca puanı 8,8 olan WordPress kayıtlarıCWE-434 kayıtları az ama ağır, yarıdan fazlası giriş gerektirmiyor. Yükleme klasöründe betik çalıştırmayı kapatmanın mantığı ve site sahibinin yapabilecekleri.
Puanı okumakBir WordPress CVE kaydı nasıl okunur, numaradan sürüm satırınaCVE numarasının yılı neden yayın yılını göstermez, kaydı kim açar, NVD’de “Deferred” ne demek ve “up to and including” ile “before” arasındaki fark.
Puanı okumakCVSS puanı nasıl okunur, WordPress açıklarında 9,8 ile 6,4 farkıCVSS 3.1 vektöründeki sekiz harfin ne anlattığı, WordPress kayıtlarında puanı kimin verdiği ve puanın neden sitenizin riskini tek başına söylemediği.
Açık türleriEksik yetki kontrolü ve nonce, “missing capability check” ne anlatırWordPress kayıtlarının ikinci büyük grubu CWE-862; nonce neden yetki kontrolü değildir, AJAX ve REST uç noktalarında açık nasıl doğar, siz ne yaparsınız.
Ücretli ürünlerNulled tema ve eklenti riski, GPL neye izin verir neye vermezLisanssız dağıtılan ücretli WordPress kopyalarında Wordfence’in bulduğu arka kapılar, GPL’in sınırı ve böyle bir kopya kurduysanız atılacak savunma adımları.
Ücretli ürünlerÜcretli tema ve eklentilerde güvenlik güncellemesi nasıl gelirThemeForest, CodeCanyon ve satıcı lisanslı WordPress ürünlerinde güncelleme yolu, lisans bitince ne olduğu ve dizin dışı ürünlerin açık kayıtlarındaki payı.
Açık türleriWordPress eklentilerinde XSS, kayıtların üçte biri neden bu türdenSon 12 ayın WordPress kayıtlarının yaklaşık %32’si siteler arası betik. Kalıcı ve yansıtılan XSS farkı, kısa kod kaynaklı kayıtlar ve site sahibinin yapabilecekleri.
Site sahibi içinWordPress kullanıcı rolleri ve açık riski, abone ile katkıcı neden önemliAçık kayıtlarındaki “gereken yetki” alanını WordPress rolleriyle eşleştiriyoruz; son 12 ayda hangi rolün ne kadar geçtiği ve sitenizde bakılacak ayarlar.
Site sahibi içinWordPress otomatik güncelleme, hangisi açık gelir hangisini siz açarsınızÇekirdek küçük sürümler 3.7’den, büyük sürümler 5.6’dan, eklenti ve temalar 5.5’ten beri otomatik güncellenebilir. Hangi ayar nerede ve neden çalışmayabilir.