वर्डप्रेस। Orderland
एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता की खोज तीन वर्डप्रेस प्लगइन्स में की गई: गॉलोल गेस्टबुक सीएमएस प्लगइन, स्ट्रॉन्ग टेस्टिमोनियल्स प्लगइन, और स्नेज़ी मैप्स प्लगइन, डिफेंसकैप थंडरस्कैन के साथ सिस्टम की नियमित सुरक्षा जांच के दौरान। गॉवल गेस्टबुक प्लगइन के 40,000 से अधिक सक्रिय इंस्टॉलेशन, स्ट्रॉन्ग टेस्टिमोनियल्स प्लगइन के 50,000 से अधिक सक्रिय इंस्टॉलेशन और 60,000 से अधिक सक्रिय इंस्टालेशन जैसे स्नेज़ज़ी मैप्स प्लगइन के साथ, क्रॉस-साइट स्क्रिप्टिंग भेद्यता उपयोगकर्ताओं को प्रशासक का उपयोग करने का जोखिम देती है। दुर्भावनापूर्ण हमलावर, और एक बार करने के बाद, हमलावर को दर्शकों और आगंतुकों के लिए दुर्भावनापूर्ण कोड को आगे फैलाने के लिए एक मुफ्त पास दे रहा है। डिफेंसकोड एडवाइजरी आईडी के तहत इस भेद्यता की जांच की गई है डीसी 2018-05-008 / डीसी 2018-05-007 / डीसी 2018-05-008 (क्रमशः) और तीनों मोर्चों पर एक मध्यम खतरा पैदा करने के लिए निर्धारित किया गया है। यह सूचीबद्ध वर्डप्रेस प्लगइन्स में PHP भाषा में मौजूद है और यह प्लग-इन के सभी संस्करणों को प्रभावित करने और G2 के लिए V2.5.3 सहित, गेस्टोलॉज़बुक के लिए v2.31.4, और ज़ोरदार प्रशंसापत्र के लिए v1.1.3 और स्नैज़ल मैप्स को प्रभावित करने के लिए पाया गया है।
क्रॉस-साइट स्क्रिप्टिंग भेद्यता का उपयोग तब किया जाता है जब एक दुर्भावनापूर्ण हमलावर सावधानी से URL वाले जावास्क्रिप्ट कोड को शिल्प करता है और वर्डप्रेस व्यवस्थापक खाते को उक्त पते से जोड़ने में हेरफेर करता है। इस तरह की हेरफेर साइट पर पोस्ट की गई एक टिप्पणी के माध्यम से हो सकती है जिसे व्यवस्थापक को ईमेल, पोस्ट या एक फोरम चर्चा के माध्यम से क्लिक करने या एक्सेस करने के लिए लुभाया जाता है। एक बार अनुरोध करने के बाद, छिपा हुआ दुर्भावनापूर्ण कोड चलाया जाता है और हैकर उस उपयोगकर्ता की वर्डप्रेस साइट तक पूरी पहुंच प्राप्त कर लेता है। साइट के ओपन एंड एक्सेस के साथ, हैकर साइट पर आने वाले आगंतुकों के लिए मैलवेयर फैलाने के लिए इस तरह के और भी दुर्भावनापूर्ण कोड एम्बेड कर सकता है।
शुरुआत में जून के पहले डिफेंसकोड द्वारा भेद्यता की खोज की गई थी और 4 दिन बाद वर्डप्रेस को सूचित किया गया था। विक्रेता को एक समाधान के साथ आगे आने के लिए मानक 90 दिन की रिलीज़ अवधि दी गई थी। जांच करने पर, यह पाया गया कि इको () फ़ंक्शन और विशेष रूप से $ _SERVER ['PHP_SELF'] Gwolle Guestbook प्लगइन के लिए चर, $ _REQUEST [[id]] मजबूत प्रशंसापत्र प्लगइन में चर में मौजूद था, और Snazzy मैप्स प्लगइन में $ _GET ['पाठ'] चर। इस भेद्यता के जोखिम को कम करने के लिए, वर्डप्रेस द्वारा सभी तीन प्लगइन्स के लिए अपडेट जारी किए गए हैं और उपयोगकर्ताओं से अनुरोध है कि वे अपने प्लगइन्स को नवीनतम उपलब्ध संस्करणों में अपडेट करें।
