Найдена XSS уязвимость в плагине WP Statistics

Серьезная уязвимость межсайтового скриптинга могла повлиять на тысячи веб-сайтов при использовании эксплойта. Уязвимость XSS существовала в WordPress плагин WP Statistics. Потенциальный злоумышленник может получить полный контроль над веб-сайтом, используя недостаток при определенных обстоятельствах.

XSS уязвимость в плагине WP Statistics

Исследователи из Sucuri обнаружили серьезный недостаток безопасности XSS в плагине WP Statistics WordPress. Недостаток может позволить злоумышленнику захватить веб-сайт при определенных условиях.

Как указано в их блоге, уязвимость существовала в том, как веб-сайт с помощью плагина обнаруживает IP-адрес посетителя. В частности, для веб-сайтов, использующих брандмауэр, злоумышленник также может воспользоваться этой уязвимостью.

Как объяснено, в конфигурациях по умолчанию IP-адрес посетителя проходит через брандмауэр на веб-сайт. На этом этапе брандмауэр может вести себя по-разному, чтобы передать IP-адрес посетителя на веб-сайт. Переданный IP-адрес может или остаться ‘без изменений’, или брандмауэр может изменить IP-адрес, но сохранить оригинальный IP-адрес в заголовке без изменения.

В последнем случае злоумышленник может намеренно перенаправить вредоносный IP-адрес из-за недостатка плагина. Как заявили исследователи,

Уязвимость плагина основана на сценарии, в котором он не дезинфицирует и не проверяет IP пользователя.

Однако успешный эксплойт также зависит от настроек плагина.

Уязвимость может быть использована только тогда, когда плагин использует заголовок для идентификации IP-адреса посетителя.

Конфигурация брандмауэра также должна соответствовать одному из двух требований для успешного эксплойта.

Для эксплойта также должно выполняться одно из следующих двух условий: брандмауэр должен быть обходимым . Или брандмауэр должен оставить заголовок как есть, если он существует.

Разработчики исправили недостаток

После того, как исследователи обнаружили уязвимость, они связались с разработчиками 26 июня 2019 года. Затем, после их общения, разработчики выпустили исправление с обновленной версией плагина 1 июля 2019 года.

Уязвимость затронула версии плагинов WP Statistics до 12.6.7 . Пользователи этого плагина должны следить за тем, чтобы их веб-сайты обновлялись с последней версией плагина (12.6.7), чтобы оставаться защищенными от возможных эксплойтов.