WordPress插件-WP Statistics中的跨站点脚本漏洞

近日,WordPress插件WP Statistics修补了一个跨站点脚本(XSS)漏洞,如果该网站在某些非默认设置下运行,该漏洞可能会导致的网站被黑客入侵。

WP Statistics为网站所有者提供了一种分析网站统计信息的工具,例如网站上的访问者数量,访问者使用的浏览器等等。该插件由VeronaLabs制作,有超过500,000个有效安装。

wordpress 插件漏洞

未经身份验证的存储XSS漏洞存在于插件的一个功能中,允许网站使用标头来查找网站访问者的IP地址。XSS可能是一个严重的漏洞,可以使攻击者将客户端脚本注入网页,使得其他用户可以查看。但是,重要的是要注意,只有当受影响的网站使用非默认的特定配置时才会利用此漏洞, 这意味着默认设置不容易受到影响,Sucuri的研究人员发现了这个缺陷。

“某些类型的信息似乎是安全的,例如访问者的IP地址,但实际上并不总是你所期望的,”Sucuri的安全漏洞研究员Antony Garand在周三的分析中表示。“由于开发人员的某些假设,访问者可能会在管理页面上注入恶意代码,从而导致网站被入侵。”12.6.7之前的插件版本容易受到未经身份验证的存储跨站脚本漏洞的攻击; 在版本12.6.7中发布了一个补丁来解决这个漏洞。研究人员表示,他们于2019年6月26日与开发人员就该缺陷进行了初步接触。该补丁于7月1日发布。

该漏洞源于插件在使用标头识别其IP地址时无法清理或验证用户的IP地址, 允许不良行为者潜在地向网站注入恶意代码。

默认情况下,使用该插件的网站可以轻松找到访问者的IP地址; 但是,当运行插件的网站使用防火墙时,用户IP会在联系网站之前联系该防火墙。

这意味着网站在联系防火墙之前不知道原始用户的IP地址是什么; 为了解决这个问题,防火墙添加了一个包含用户原始IP的标头,允许该网站识别原始用户。

5

发表评论