WordPress XSS bug

A 2015.04.20-án publikált, WordPress kiegészítőket érintő Cross-site Scripting (XSS) sebezhetőség az összes, következő két függvényt használó kódrészletet érinti:

    - add_query_arg
    - remove_query_arg

A sebezhetőség a fenti függvények használatának módjából következik, mivel a kiegészítők fejlesztői feltételezték, hogy ezek escapelni fogják a felhasználók által bevitt adatokat, viszont a valóságban ez nem történik meg, így kártékony kódok átadására voltak felhasználhatóak.

Miután a sebezhetőségre fény derült, az alkalmazások közös javítása meg is történt, így a 2015.04.20-a után kiadott frissítések telepítésével ez a biztonsági rés elhárítható. Amennyiben az automatikus frissítés nincsen beállítva a WordPress alatt, abban az esetben ezt az oldal admin felületen tudják elvégezni.

Amennyiben saját fejlesztésű kódot használtak, amely épít az “add_query_arg”, vagy “remove_query_arg” függvényekre, abban az esetben azt az “esc_url()” (vagy esc_url_raw()) függvénnyel kiegészítve tudják a bevitt adatok escapelését megoldani.

A teljesség igénye nélkül pár érintett kiegészítő:

  • Jetpack
  • WordPress SEO
  • Google Analytics by Yoast
  • All In one SEO
  • Gravity Forms
  • Multiple Plugins from Easy Digital Downloads
  • UpdraftPlus
  • WP-E-Commerce
  • WPTouch
  • Download Monitor
  • Related Posts for WordPress
  • My Calendar
  • P3 Profiler
  • Give
  • Multiple iThemes products including Builder and Exchange
  • Broken-Link-Checker
  • Ninja Forms

A sebezhetőségről további részleteket a következő oldalon olvashatnak: https://blog.sucuri.net/2015/04/security-advisory-xss-vulnerability-affecting-multiple-wordpress-plugins.html

Hasznos volt a bejegyzés?

Related Articles