Ckeditör Filemanager kullananların dikkatine

Merhaba,

Bugün rutin olarak kontrol sağlarken bir terslik tespit ettim daha sonrasında işin detayına inince olayı farkettim

Yazılım tabanlı herkesin muhakkak kullandığı ckeditör eklentisinde (filemanager sürümünde var) ciddi bir açık barındırıyor. Sanıyorum ki bu açık henüz yayınlanmamış çok bilinmiyor genel exploitleri de araştırdığım kadarı ile 2020 yılında yayınlanmış bazı açıklar var fakat bu bahsettiğim açık ile ilgili yayınlanmış bir exploit bulamadım.

Olay aslında şu filemanagerın kullandığı bazı dosyalarında teknik hatalar var bu açığı keşfeden bazı kişiler dork yardımı ile rastgele buldukları sitelerde bu açıkları deneyip işlem yapmaya çalışıyor kısacası shell upload etmeye çalışıyor.

Sizlere tavsiyem özellikle ckeditor'de filemanager eklentisini kullanıyorsanız muhakkak kaldırın en son güncellemeleri 2019 yılında gerçekleşmiş demekki üzerine pek düşmüyorlar. Açığı detaylı olarak paylaşmak istemiyorum art niyetli kişiler farkedip açığı kendi elimiz ile yaymış olmayalım.

Kendimi bildim bileli bu sektorde editorler surekli risk teskil ediyor.

Başka öneriniz var mı? Ckeditör dışında

Kesinlikle hocam özellikle upload olan editörü kullanmayacaksın ya üstüne düşmüyorlar yada teknolojiyi takip etmiyorlar gerekli güncellemeyi sağlamıyorlar koskoca ckeditor 2019 yılında güncelleme almış

Her zaman için ckeditor ya da benzer editörlerin arkasındaki dosya ve metin kayıt işlemlerini karşılayan server tarafında extra kontroller ile gelen giden data yapısı kontrol edilmelidir.
Sadece resim yükleme değil, metin işlemleri de mutlaka buna dahil edilmeli, her sistem için iki farklı kontrol mekanizması geliştirmek her zaman daha rahatlatıcı olacaktır, tavsiye ederim.

TinyMCE kullanıyorum, kafam rahat.

Paylaşım için teşekkürler.