WordPress Gwolle Gæstebog Stærke udtalelser og Snazzy Maps Plugins Sårbare over for XSS Attack

WordPress. Orderland

En sårbarhed på tværs af scripting (XSS) blev opdaget i tre WordPress-plugins: Gwolle Guestbook CMS-plugin, Strong Testimonials-plugin og Snazzy Maps-plugin under en rutinemæssig sikkerhedskontrol af systemet med DefenseCode ThunderScan. Med over 40.000 aktive installationer af Gwolle Guestbook-pluginnet, over 50.000 aktive installationer af Strong Testimonials-plugin'et og over 60.000 aktive sådanne installationer af Snazzy Maps-plugin'et, skaber sårbarheden på tværs af scripting brugerne en risiko for at give administratoradgang til en ondsindet angriber, og når det er gjort, giver angriberen et gratis pas til yderligere at sprede den ondsindede kode til seere og besøgende. Denne sårbarhed er undersøgt under DefenseCode-rådgivnings-id'erne DC-2018-05-008 / DC-2018-05-007 / DC-2018-05-008 (henholdsvis) og er fast besluttet på at udgøre en medium trussel på alle tre fronter. Det findes på PHP-sprog i de anførte WordPress-plugins, og det har vist sig at påvirke alle versioner af plugins indtil og med v2.5.3 for Gwolle Guestbook, v2.31.4 for Strong Testimonials og v1.1.3 for Snazzy Maps.

Sårbarheden på tværs af scripting udnyttes, når en ondsindet angriber omhyggeligt fremstiller en JavaScript-kode, der indeholder URL og manipulerer WordPress-administratorkontoen til at oprette forbindelse til den nævnte adresse. En sådan manipulation kan forekomme gennem en kommentar, der er lagt ud på webstedet, som administratoren fristes til at klikke på eller via en e-mail, et indlæg eller en forumdiskussion, der er adgang til. Når anmodningen er fremsat, køres den skjulte ondsindede kode, og hacker formår at få fuld adgang til WordPress-webstedet for den pågældende bruger. Med åben adgang til webstedet kan hacker integrere flere sådanne ondsindede koder på webstedet for også at sprede malware til besøgende på webstedet.

Sårbarheden blev oprindeligt opdaget af DefenseCode den første juni, og WordPress blev informeret 4 dage senere. Sælgeren fik den almindelige 90-dages frigivelsesperiode til at komme med en løsning. Efter undersøgelse blev det fundet, at sårbarheden eksisterede i echo () -funktionen, og især variablen $ _SERVER ['PHP_SELF'] for Gwolle Guestbook-plugin, variablen $ _REQUEST ['id'] i plugin'en Strong Testimonials og variablen $ _GET ['text'] i Snazzy Maps-pluginet. For at mindske risikoen for denne sårbarhed er opdateringer til for alle tre plugins frigivet af WordPress, og brugere bliver bedt om at opdatere deres plugins til henholdsvis de nyeste tilgængelige versioner.