CVE-2021-29504

WP-CLI, WordPress için komut satırı arayüzüdür. WP-CLI sürüm 0.12.0 ve sonrasında, HTTPS istekleri yönetimindeki hatalı hata işleme süreci, iletişimi önleyebilen uzaktan saldırganların WP-CLI tarafındaki sertifika doğrulamasını uzaktan devre dışı bırakmasına olanak tanır; bu durum, güncelleme sunucularını taklit etme ve savunmasız WP-CLI ajanı tarafından kontrol edilen WordPress örneklerine veya doğrudan WP-CLI'ın kendisine kötü amaçlı güncellemeler gönderme yeteneği dahil olmak üzere iletişim içeriği üzerinde tam kontrol sağlar. Güvenlik açığı, `WP_CLI\Utils\http_request()` fonksiyonunun bir TLS el sıkışma hatasıyla karşılaştığındaki varsayılan davranışının, sertifika doğrulamasını devre dışı bırakıp aynı isteği yeniden denemek olmasından kaynaklanmaktadır. Varsayılan davranış, WP-CLI'ın 2.5.0 sürümü ve `wp-cli/wp-cli` çerçevesi ile (https://github.com/wp-cli/wp-cli/pull/5523 aracılığıyla), `WP_CLI\Utils\http_request()` metodunun varsayılan olarak `false` olan bir `$insecure` seçeneğini kabul edecek şekilde değiştirilmiştir ve sonuç olarak bir TLS el sıkışma hatası artık varsayılan olarak kritik bir hata olarak değerlendirilmektedir. Bu yeni varsayılan ayar, ayrı WP-CLI paketleri veya üçüncü taraf paketler dahil olmak üzere `WP_CLI\Utils\http_request()` kullanan tüm bileşenleri etkileyen yıkıcı bir değişikliktir (breaking change). https://github.com/wp-cli/wp-cli/pull/5523 adresi, bu değişikliği dengelemek için `cli update` komutuna bir `--insecure` bayrağı eklemiştir. 2.5.0 öncesi `wp-cli/wp-cli` sürümlerinin varsayılan güvensiz davranışı için doğrudan bir geçici çözüm yoktur. Yeni güvenli varsayılan davranıştan doğrudan etkilenen komutlardaki yıkıcı değişiklikle başa çıkmak için geçici çözüm, önceki güvensiz davranışı manuel olarak etkinleştirmek adına `--insecure` bayrağını eklemektir.