Dodatak za WordPress koji je instaliran na preko 100000 sajtova ima ozbiljan bag

Vesti, 28.04.2020, 09:30 AM

Dodatak za WordPress koji je instaliran na preko 100000 sajtova ima ozbiljan bag

Vlasnicima WordPress sajtova savetuje se da zaštite svoje veb sajtove ažuriranjem “Real-Time and Replace” dodatka kako bi sprečili napadače da ubacuju zlonamerni kod na njihove veb sajtove i kreiraju lažne administratorske naloge koristeći otkriveni CSRF (Cross-Site Request Forgery) bezbednosni propust.

Sigurnosna ranjivost omogućava SXSS (Stored Cross-Site Scripting) napade i utiče na sve verzije Real-Time and Replace dodatka do verzije 3.9.

Bag se može zloupotrebiti da bi se WordPress administratori prevarili da ubace zlonamerni JavaScript na stranice svojih web sajtova nakon što kliknu na maliciozni link u komentaru ili emailu.

Real-Time and Replace dodatak za WordPress instaliran je na preko 100000 sajtova i omogućava korisnicima da privremeno zamene kod i tekst iz tema i drugih dodataka po njihovom izboru u realnom vremenu, a da pri tom ne moraju da uđu u izvorni kod sajtova i izvrše trajne promene.

Napadač može iskoristiti funkcionalnost dodatka da zameni bilo koji sadržaj na ciljanom sajtu zlonamernim kodom, kao što je detaljno objašnjeno u izveštaju koji je objavila firma Wordfence.

Ovaj JavaScript kod automatski bi se izvršio „kad god korisnik dođe do stranice koja sadrži originalni sadržaj“, kaže Kloi Čemberlend, analitičar pretnji u Wordfenceu.

Na primer, napadači mogu zloupotrebiti ovu ranjivost da bi zamenili HTML oznaku poputsvojim zlonamernim kodom, što bi dovelo do toga da se gotovo sve stranice na napadnutom WordPress sajtu pretvaraju u alat za napade.

Zlonamerni kod bi mogao da se iskoristi za kreiranje novog administratorskog naloga, krađu kolačića za sesiju ili preusmeravanje korisnika na zlonamerni veb sajt, omogućavajući napadačima da dobiju administrativni pristup ili da zaraze posetioce koji pregledavaju kompromitovani sajt.

Ranjivost je otkrivena i prijavljena 22. aprila, a programer „Real-Time Find and Replace“ dodatka reagovao je objavljivanjem zakrpe u roku od nekoliko sati.

Wordfence je ovaj propust ocenio CVSS ocenom 8,8, dakle, reč je o veoma ozbiljnom propustu, što bi trebalo da natera sve korisnike da odmah ažuriraju dodatak na verziju 4.0.2 koja sadrži zakrpu za bag.

Nažalost, uprkos brzom odgovoru programera i dostupnosti zakrpe u poslednjih pet dana, tek nešto više od 27000 korisnika ažuriralo je dodatak.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Posle TikToka, i LinkedIn, Reddit, Google News i druge aplikacije uhvaćene u ''špijuniranju'' korisnika iPhonea

Posle TikToka, i LinkedIn, Reddit, Google News i druge aplikacije uhvaćene u ''špijuniranju'' korisnika iPhonea

iOS 14 doneo je novu funkciju koja obaveštava korisnike kada aplikacije pristupaju podacima u clipboardu, gde se nalaze informacije koje kopirate i d... Dalje

Zoom obećao da će krajem godine objaviti svoj prvi izveštaj o transparentnosti

Zoom obećao da će krajem godine objaviti svoj prvi izveštaj o transparentnosti

Zoom je obećao da će krajem godine objaviti svoj prvi izveštaj o transparentnosti. Ovo je objavljeno na blogu izvršnog direktora Zooma Erika Juana... Dalje

Zašto je lozinka ''123456'' vrlo loša ideja

Zašto je lozinka ''123456'' vrlo loša ideja

U jednoj od najvećih studija o upotrebi lozinki, analizom više od milijardu procurelih korisničkih podataka otkriveno je da je jedna od svake 142 ... Dalje

Zbog prikupljanja podataka korisnika, Indija zabranila 59 kineskih aplikacija, među kojima i TikTok i UC Browser

Zbog prikupljanja podataka korisnika, Indija zabranila 59 kineskih aplikacija, među kojima i TikTok i UC Browser

Indijska vlada zabranila je juče 59 kineskih mobilnih aplikacija zbog nacionalne bezbednosti. Zabrana dolazi nakon sukoba indijske vojske sa kineskim... Dalje

Kako je Telegram pobedio rusku vlast koja ga je zabranila

Kako je Telegram pobedio rusku vlast koja ga je zabranila

Pre dve godine, vlasnik Telegrama Pavel Durov odbio je da dozvoli ruskim bezbednosnim službama pristup šifrovanim porukama korisnika u svojoj popula... Dalje