CW'de de okuduğum bu mevzu hakkında ufak bir bilgi vereyim.
All-in-one-seo-pack eklentisi yönetici panelindeki formu doldurup gönderdiğinizde varolan ayarları güncelliyor. Yönetici yetkisine sahip birinin yönetim panelinden bunu yapması da gayet normal. Ancak bu form herhangi bir siteden post edildiğinde eğer post eden kişi yönetici haklarına sahip biriyse hangi siteden geldiğini kontrol etmeden işleme koyuyor.

Yönetici paneline giriş yapmış kişiler herhangi bir sayfadan direk kendi sitelerine veri post ettiklerinde ise bu güvensiz yöntemden dolayı sitelerinde istenmeyen bir güncelleme yapılıyor.

Korunmak ise oldukça basit. Yönetici panelindeki forma hidden/gizli bir değer ekleyerek bunu post edildiği kod bloğundan kontrol etmek yeterlidir. İsterseniz sabit, isterseniz değişken bir değer girin pek de farketmez. Benim sitemde anlattığım yöntemde ise wordpress'in bu işler için kullandığı nonce değişkenini kullanılıyor.

Bu açık sadece bu eklentiye özel bir açık da değil. Kurulu olan eklentilerinizde bu çeşit bir kontrol yok ise aynı şekilde zarar görebilirsiniz.

Üstteki cümle biraz karamsar bir tablo çizdi ama şunu unutmayın ki açıktan zarar görmeniz için sizin sitenize özel olarak hazırlanmış bir saldırı olması şart. Yani bir xsrf sayfası hazırlayıp bunu her ziyaret eden blog kullanıcıları (admin seviyisinde) bu açıktan etkilenmez.