CSFR ranljivost v sekciji komentiranja omogoča XSS napad na WP spletne strani

Simon Scannell, raziskovalec pri RIPS Technologies GmbH je odkril novo ranljivost v CMS pri straneh, ki so postavljene na WordPress platformi, ta lahko vodi do oddaljenega napada z izvajanjem kode. 

Do pomanjkljivosti prihaja iz CSRF težave v sekciji komentiranja. Gre za jedrno komponento, ki je privzeto omogočena in vpliva na vse WordPress-e nameščene pred različico 5.1.1.

“Considering that comments are a core feature of blogs and are enabled by default, the vulnerability affected millions of sites,” pravi Scannell.

Ranljivost

Ranljivost, ki jo je prikazal Scannel, temelji na več težavah, vključno z:

• WordPress ne uporablja CSRF validacije, ko uporabnik objavi nov komentar, kar omogoči napadalcu, da objavi komentarje v imenu administratorja.
• Komentarji administratorja niso obnovljeni in lahko vsebujejo poljubne HTML oznake ali celo oznake skript.
• WordPress frontend ni zaščiten z X-Frame-Options glave, kar omogoča napadalcu, da odpre targetirano stran v skriptnem Ifrem-u iz spletne strani, ki jo kontrolira napadalec.

Če združimo vse te težave, te omogočajo napadalcu, da lahko tiho in popolnoma enostavno vstavi hranjen XSS paket na ciljano spletno stran, tako, da prelisiči prijavljenega administratorja, da obišče zlonamerno spletno stran, ki vsebuje kodo izkoriščanja.

Z združevanjem vseh teh vprašanj lahko napadalec tiho vstavi shranjeno naloženo XSS na ciljno spletno mesto samo tako, da naredi prijavljenega administratorja v obisk zlonamerne spletne strani, ki vsebuje kodo izkoriščanja.

Kaj storiti?

WordPress je na podlagi ugotovljenega nemudoma v sredo (13.03.2019) že objavil varnostno posodobitev, ki odpravi omenjeno težavo. 

Svetujemo vam, da NEMUDOMA POSODOBITE SVOJE WORDPRESS SPLETNE STRANI.

Vsi naši naročniki, ki imajo zakupljen dodatni paket WordPress vzdrževanja, Lokvanj, so jim naši tehniki že posodobili njihove WordPress spletne strani. 

V kolikor bi tudi sami želeli naše WordPress vzdrževanje in odpravljanje težav, si lahko ponudbo ogledate TUKAJ. 

Viri:
– https://wordpress.org/news/2019/03/wordpress-5-1-1-security-and-maintenance-release/
– https://thehackernews.com/2019/03/hack-wordpress-websites.html?m=1&fbclid=IwAR06ErwkCUHQVq2g-GUCYENCJrdSwxWR0pbR8iVbWxUA7JuyU1iB4oVIFeo