XSS-уязвимость в Jetpack и Twenty Fifteen, а также некоторые другие баги были исправлены в WordPress 4.2.2

Дата публикации:Май 9, 2015

Jetpack и Twenty Fifteen были обновлены после того, как была обнаружена XSS-уязвимость, основанная на DOM. Согласно Sucuri, любой плагин или тема, которые используют Genericons, являются уязвимыми вследствие небезопасного файла, включенного в пакет.

securityapi

Genericons поставляется вместе с файлом example.html, который уязвим для атаки на уровне DOM. Open Web Application Security Project описывает такие атаки следующим образом:

«Основанные на DOM XSS-атаки (которые также называются type-0 XSS) – это атаки, которые меняют среду DOM в браузере жертвы при помощи специального клиентского скрипта, в результате чего код на стороне клиента выполняется неожиданным образом. Сама страница (HTTP-ответ) не меняется, однако клиентский код, содержащийся на странице, выполняется несколько иначе в результате вредоносных модификаций среды DOM»

Вредоносный код в таких атаках выполняется непосредственно в браузере пользователя. Даже файрвол Sucuri не способен блокировать атаку, поскольку он не может ее заметить. Однако компания справилась с данной уязвимостью.

Sucuri обратились ко многим хостинг-провайдерам с целью идентифицировать и удалить файл example.html с их серверов. Если вы используете следующие веб-хостинги, вам не нужно ни о чем беспокоиться, поскольку все уже было сделано:

  • GoDaddy
  • HostPapa
  • DreamHost
  • ClickHost
  • InMotion
  • WPEngine
  • Pagely
  • Pressable
  • Websynthesis
  • Site5
  • SiteGround

Согласно Sucuri, файл example.html использовался для отладки и тестирования, однако по ошибке был оставлен в каталоге после того, как проект был упакован для рабочих сайтов. Такое незначительное упущение привело к тому, что миллионы сайтов оказались в опасности, поскольку тема Twenty Fifteen является дефолтной.

Вы должны обновить Twenty Fifteen  и Jetpack вне зависимости от того, какой веб-хостинг вы используете. Вы должны также оставаться бдительными и тщательно следить за обновлениями плагинов и тем. Если возможно, вручную удалите example.html из вашего каталога Genericons.

Версия WordPress 4.2.2 исправляет эту уязвимость, а также некоторые другие баги.

Источник: wptavern.com

Поделиться

Оставить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Получать новые комментарии по электронной почте. Вы можете подписаться без комментирования.