WordPress özel alan eklentisi hatası, 1 milyondan fazla siteyi XSS saldırılarına maruz bırakır


wordpress

Güvenlik araştırmacıları, milyonlarca yüklemeye sahip ‘Gelişmiş Özel Alanlar’ ve ‘Gelişmiş Özel Alanlar Pro’ WordPress eklentilerinin siteler arası komut dosyası çalıştırma saldırılarına (XSS) karşı savunmasız olduğu konusunda uyarıyorlar.

İki eklenti, dünya çapındaki sitelerde 2.000.000 aktif yükleme ile WordPress’in en popüler özel alan oluşturucuları arasındadır.

Patchstack’in araştırmacısı Rafie Muhammad, 2 Mayıs 2023’te CVE-2023-30777 tanımlayıcısı atanan yüksek önem dereceli yansıyan XSS güvenlik açığını keşfetti.

XSS hataları genellikle saldırganların başkaları tarafından görüntülenen web sitelerine kötü amaçlı komut dosyaları eklemesine izin vererek, kodun ziyaretçinin web tarayıcısında yürütülmesine neden olur.

Patchstack, XSS kusurunun kimliği doğrulanmamış bir saldırganın hassas bilgileri çalmasına ve etkilenen bir WordPress sitesinde ayrıcalıklarını artırmasına izin verebileceğini söylüyor.

“Bu güvenlik açığının, Gelişmiş Özel Alanlar eklentisinin varsayılan kurulumunda veya yapılandırmasında tetiklenebileceğini unutmayın.” Bültende Patchstack’i açıklıyor.

“XSS, yalnızca Gelişmiş Özel Alanlar eklentisine erişimi olan oturum açmış kullanıcılar tarafından da tetiklenebilir.”

Bu, kimliği doğrulanmamış saldırganın, kusuru tetiklemek için kötü amaçlı bir URL’yi ziyaret etmesi için eklentiye erişimi olan birinin yine de sosyal mühendislik yapması gerekeceği anlamına gelir.

Eklentinin geliştiricisi, Patchstack’in keşfi üzerine sorundan haberdar edildi ve 4 Mayıs 2023’te 6.1.6 sürümünde bir güvenlik güncellemesi yayınladı.

XSS kusuru

CVE-2023-30777 kusuru, WordPress’in yönetici alanındaki ana gövde etiketi için CSS sınıflarını (tasarım ve düzen) kontrol eden ve filtreleyen bir kancanın çıktı değerini düzgün şekilde sterilize edemeyen “admin_body_class” işlev işleyicisinden kaynaklanmaktadır. Siteler.

“admin_body_class” işlevi (Patch stack)

Saldırgan, bileşenlerine bir sınıf dizesi olan nihai ürüne geçecek zararlı kod (DOM XSS yükleri) eklemek için eklenti kodunda, özellikle ‘$this→view’ değişkeninde güvenli olmayan bir doğrudan kod birleştirmesinden yararlanabilir.

‘sanitize_text_field’ eklentisi tarafından kullanılan temizleme işlevi, kötü amaçlı kod enjeksiyonunu yakalayamayacağı için saldırıyı durdurmaz.

'current_screen' işlevi aracılığıyla 'this->view’ değişkenine erişme” yükseklik=”212″ kaynak=”https://www.bleepstatic.com/images/news/u/1220909/2023/WordPress/8/this-post.jpg” genişlik=”766″/><figcaption><strong>‘current_screen’ işlevi aracılığıyla ‘this->view’ değişkenine erişme</strong> <em>(Patch stack)</em></figcaption></figure>
</div>
<p>Geliştirici, admin_body_class kancasının çıktı değerini uygun şekilde sterilize eden ve dolayısıyla XSS’yi önleyen ‘esc_attr’ adlı yeni bir işlevi uygulayarak 6.1.6 sürümündeki kusuru düzeltti.</p>
<p>Tüm ‘Gelişmiş Özel Alanlar’ ve ‘Gelişmiş Özel Alanlar Pro’ kullanıcılarının mümkün olan en kısa sürede 6.1.6 veya sonraki bir sürüme yükseltmeleri önerilir.</p>
<p>WordPress.org indirme istatistiklerine göre, eklenti kullanıcılarının %72,1’i hala XSS ve diğer bilinen kusurlara karşı savunmasız olan 6.1’in altındaki sürümleri kullanıyor.</p>
</div>
<p><script type='text/javascript' src='//pl24234543.cpmrevenuegate.com/a3/8f/91/a38f91566c6fa8abfc7dc6b3511092b7.js'></script><br />
<br /><a href=Source link