WordPress Gwolle Knjiga gostiju Snažna svjedočenja i dodaci za snazzy Maps ranjivi na XSS napad

WordPress. Zemlja narudžbi

Ranjivost skriptiranja na različitim web lokacijama (XSS) otkrivena je u tri WordPress dodatka: Cw dodatku Gwolle Guestbook, dodatku Strong Testimonials i dodatku Snazzy Maps tijekom rutinske sigurnosne provjere sustava s DefenseCode ThunderScanom. S više od 40.000 aktivnih instalacija dodatka Gwolle Guestbook, preko 50.000 aktivnih instalacija dodatka Strong Testimonials i preko 60.000 aktivnih takvih instalacija dodatka Snazzy Maps, ranjivost skriptiranja na više web mjesta stavlja korisnike u rizik da administratoru daju pristup zlonamjernog napadača i jednom učinio, dajući napadaču besplatnu propusnicu za daljnje širenje zlonamjernog koda gledateljima i posjetiteljima. Ova je ranjivost istražena pod savjetodavnim ID-ima DefenseCode-a DC-2018-05-008 / DC-2018-05-007 / DC-2018-05-008 (odnosno) i utvrđeno je da predstavlja srednju prijetnju na sve tri fronte. Postoji na jeziku PHP u navedenim dodacima za WordPress i utvrđeno je da utječe na sve verzije dodataka, uključujući i v2.5.3 za Gwolle Guestbook, v2.31.4 za Stroga svjedočenja i v1.1.3 za Snazzy Maps.

Ranjivost skriptiranja na više web lokacija iskorištava se kada zlonamjerni napadač pažljivo izradi JavaScript kôd koji sadrži URL i manipulira računom administratora WordPressa kako bi se povezao na navedenu adresu. Takva bi se manipulacija mogla dogoditi komentarom objavljenim na web mjestu da administrator dođe u iskušenje da klikne ili putem e-pošte, posta ili rasprave na forumu kojoj se pristupa. Jednom kada se podnese zahtjev, pokreće se skriveni zlonamjerni kod i haker uspijeva dobiti potpun pristup WordPress web mjestu tog korisnika. S otvorenim krajnjim pristupom web mjestu, haker može u njega ugraditi više takvih zlonamjernih kodova kako bi proširio zlonamjerni softver i na posjetitelje web mjesta.

Ranjivost je prvotno otkrio DefenseCode prvog lipnja, a WordPress je obaviješten 4 dana kasnije. Dobavljač je dobio standardno razdoblje izdanja od 90 dana da se javi s rješenjem. Istragom je utvrđeno da ranjivost postoji u funkciji echo (), a posebno varijabla $ _SERVER ['PHP_SELF'] za dodatak Gwolle Guestbook, varijabla $ _REQUEST ['id'] u dodatku Strong Testimonials i varijabla $ _GET ['text'] u dodatku Snazzy Maps. Kako bi umanjio rizik od ove ranjivosti, WordPress je objavio ažuriranja za sva tri dodatka, a od korisnika se zahtijeva da ažuriraju svoje dodatke na najnovije dostupne verzije.