W wiadomościach WordPress jedna konkretna wtyczka ma nową lukę w zabezpieczeniach skryptów krzyżowych. Firma Wordfence zgłosiła, że we wtyczce Download Manager występuje poważna luka w zabezpieczeniach skryptów między witrynami.
Menedżer pobierania to wtyczka pomagająca zarządzać i kontrolować pobieranie plików za pomocą szeregu specjalnych kontroli pobierania, które ograniczają nieautoryzowany dostęp do plików.
Ta wtyczka zapewnia również kompletne rozwiązanie do sprzedaży produktów cyfrowych w witrynach WordPress, w tym funkcję realizacji transakcji w celu sfinalizowania zamówienia.
Główną funkcją wtyczki, która została uznana za podatną na ataki, była możliwość użycia krótkiego kodu, który osadzał pliki i inne zasoby cyfrowe na stronie lub w poście.
Mówiąc dokładniej, luką, na którą ta funkcja była podatna, była luka w zabezpieczeniach typu cross-site scripting.
Wynik CVSS (lub Common Vulnerability Scoring System), który jest wynikiem używanym do oceny poszczególnych luk i ich wpływu, wynosi około 6,1. Chociaż nie jest to z natury poważne, nadal jest powodem do niepokoju.
Wordfence zgłoszono, że:
Bezpieczne praktyki kodowania obejmują kontrole mające na celu oczyszczenie danych wejściowych otrzymanych przez stronę i ucieczkę tego kodu na wyjściu, aby zapewnić prezentację tylko zatwierdzonych danych wejściowych i wyjściowych. Niestety, niewystarczające oczyszczenie danych wejściowych i ucieczka danych wyjściowych w $_REQUEST[‘frameid’] Parametr znajdujący się w pliku ~/src/Package/views/shortcode-iframe.php wtyczki Download Manager umożliwił osobie atakującej uruchomienie dowolnego kodu w przeglądarce ofiary poprzez nakłonienie jej do kliknięcia specjalnie spreparowanego adresu URL. Dzieje się tak, ponieważ parametr „frameid” został wyświetlony na stronie bez wystarczającej weryfikacji danych wejściowych użytkownika.
Bez odpowiedniego oczyszczenia i ucieczki danych wejściowych dostarczonych przez użytkownika JavaScript może służyć do manipulowania stroną. Nawet nieskomplikowany atakujący może przejąć formularz i wykorzystać go do oszukania administratora witryny do nieświadomego ujawnienia poufnych informacji lub zebrania wartości plików cookie.
Bardziej wyspecjalizowani napastnicy wykorzystaliby tę możliwość, aby uzyskać dostęp administratora lub dodać backdoora i przejąć witrynę. Jeśli osoba atakująca uzyska taki dostęp, będzie miała dostęp do tych samych informacji, do których miałby dostęp administrator, w tym do danych użytkownika i informacji o kliencie.
Ze względu na poważny charakter tej luki zalecamy wykonanie pełnej aktualizacji.
Pamiętaj o uaktualnieniu wtyczki!!
Jeśli używasz WordPressa i korzystasz z tej konkretnej wtyczki, zaleca się jej jak najszybszą aktualizację, aby mieć pewność, że na Twoim serwerze działają wszystkie możliwe, połatane wersje.
W przeciwnym razie możesz narazić się na pewne nieprzyjemne luki w zabezpieczeniach.
