WordPress管理员受到最新的漏洞的威胁

WordPress管理员受到最新的漏洞的威胁

WordPress管理员要求确保运行的是最新版本(5.1.1),因为研究人员发现了一个漏洞,使得攻击者能够完全控制目标站点。RIPS Tech的安全研究人员在今天早些时候的一篇技术博客文章中介绍了他们的发现,使得未经身份验证的第三方能够在任何WordPress5.1.1之前的版本进行远程代码执行(RCE)。

RIPS技术安全研究员西蒙·斯坎内尔说:“攻击者可以通过诱使目标博客的管理员访问攻击者建立的网站来接管任何一个支持评论的WordPress网站。一旦受害者管理员访问恶意网站,就会在后台对目标WordPress网站运行跨站点请求伪造(CSRF)攻击,而受害者不会察觉。

 

恶意评论” 

根据scannell的说法,当用户发布新评论时,WordPress 5.1.0及更早版本不执行CSRF验证。尽管世界上最流行的CMS试图通过注释清理来缓解潜在的安全问题,但RIPS技术发现了这个过程中的一个缺陷。这使得攻击者可以创建注释,这些注释包含的HTML标记和属性比注释通常允许包含的要多得多。”“我们可以注入额外的HTML标记和属性……这一事实导致WordPress核心中存在存储的XSS漏洞。

Scannell说,在将存储的跨站点脚本(XSS)有效载荷注入目标网站之后,攻击者获得RCE的下一个阶段是强制站点管理员执行注入的JavaScript。

利用<iframe>标签,评论可以隐藏在攻击者的网站上。由于注入的属性是OnMouseOver事件处理程序,攻击者可以使iframe跟随受害者的鼠标触发XSS载荷。

这允许攻击者在触发目标网站上CSRF漏洞的管理员会话中执行任意javascript代码。所有的javascript执行都是在后台进行的,受害者管理员无法注意到。

RIPS Technology提供了缓解建议,并表示说这个问题已经在最新的wordpress版本中得到了解决。 如果已关闭自动更新,scannell建议在安装安全补丁之前禁用注释。他说:“最重要的是,在访问其他网站之前,请确保注销管理员会话。”

 

原文链接

admin