Dodatak za WordPress koji je instaliran na preko 100000 sajtova ima ozbiljan bag

Vesti, 28.04.2020, 09:30 AM

Vlasnicima WordPress sajtova savetuje se da zaštite svoje veb sajtove ažuriranjem “Real-Time and Replace” dodatka kako bi sprečili napadače da ubacuju zlonamerni kod na njihove veb sajtove i kreiraju lažne administratorske naloge koristeći otkriveni CSRF (Cross-Site Request Forgery) bezbednosni propust.

Sigurnosna ranjivost omogućava SXSS (Stored Cross-Site Scripting) napade i utiče na sve verzije Real-Time and Replace dodatka do verzije 3.9.

Bag se može zloupotrebiti da bi se WordPress administratori prevarili da ubace zlonamerni JavaScript na stranice svojih web sajtova nakon što kliknu na maliciozni link u komentaru ili emailu.

Real-Time and Replace dodatak za WordPress instaliran je na preko 100000 sajtova i omogućava korisnicima da privremeno zamene kod i tekst iz tema i drugih dodataka po njihovom izboru u realnom vremenu, a da pri tom ne moraju da uđu u izvorni kod sajtova i izvrše trajne promene.

Napadač može iskoristiti funkcionalnost dodatka da zameni bilo koji sadržaj na ciljanom sajtu zlonamernim kodom, kao što je detaljno objašnjeno u izveštaju koji je objavila firma Wordfence.

Ovaj JavaScript kod automatski bi se izvršio „kad god korisnik dođe do stranice koja sadrži originalni sadržaj“, kaže Kloi Čemberlend, analitičar pretnji u Wordfenceu.

Na primer, napadači mogu zloupotrebiti ovu ranjivost da bi zamenili HTML oznaku poputsvojim zlonamernim kodom, što bi dovelo do toga da se gotovo sve stranice na napadnutom WordPress sajtu pretvaraju u alat za napade.

Zlonamerni kod bi mogao da se iskoristi za kreiranje novog administratorskog naloga, krađu kolačića za sesiju ili preusmeravanje korisnika na zlonamerni veb sajt, omogućavajući napadačima da dobiju administrativni pristup ili da zaraze posetioce koji pregledavaju kompromitovani sajt.

Ranjivost je otkrivena i prijavljena 22. aprila, a programer „Real-Time Find and Replace“ dodatka reagovao je objavljivanjem zakrpe u roku od nekoliko sati.

Wordfence je ovaj propust ocenio CVSS ocenom 8,8, dakle, reč je o veoma ozbiljnom propustu, što bi trebalo da natera sve korisnike da odmah ažuriraju dodatak na verziju 4.0.2 koja sadrži zakrpu za bag.

Nažalost, uprkos brzom odgovoru programera i dostupnosti zakrpe u poslednjih pet dana, tek nešto više od 27000 korisnika ažuriralo je dodatak.