Dodatak za WordPress koji je instaliran na preko 100000 sajtova ima ozbiljan bag

Vesti, 28.04.2020, 09:30 AM

Dodatak za WordPress koji je instaliran na preko 100000 sajtova ima ozbiljan bag

Vlasnicima WordPress sajtova savetuje se da zaštite svoje veb sajtove ažuriranjem “Real-Time and Replace” dodatka kako bi sprečili napadače da ubacuju zlonamerni kod na njihove veb sajtove i kreiraju lažne administratorske naloge koristeći otkriveni CSRF (Cross-Site Request Forgery) bezbednosni propust.

Sigurnosna ranjivost omogućava SXSS (Stored Cross-Site Scripting) napade i utiče na sve verzije Real-Time and Replace dodatka do verzije 3.9.

Bag se može zloupotrebiti da bi se WordPress administratori prevarili da ubace zlonamerni JavaScript na stranice svojih web sajtova nakon što kliknu na maliciozni link u komentaru ili emailu.

Real-Time and Replace dodatak za WordPress instaliran je na preko 100000 sajtova i omogućava korisnicima da privremeno zamene kod i tekst iz tema i drugih dodataka po njihovom izboru u realnom vremenu, a da pri tom ne moraju da uđu u izvorni kod sajtova i izvrše trajne promene.

Napadač može iskoristiti funkcionalnost dodatka da zameni bilo koji sadržaj na ciljanom sajtu zlonamernim kodom, kao što je detaljno objašnjeno u izveštaju koji je objavila firma Wordfence.

Ovaj JavaScript kod automatski bi se izvršio „kad god korisnik dođe do stranice koja sadrži originalni sadržaj“, kaže Kloi Čemberlend, analitičar pretnji u Wordfenceu.

Na primer, napadači mogu zloupotrebiti ovu ranjivost da bi zamenili HTML oznaku poputsvojim zlonamernim kodom, što bi dovelo do toga da se gotovo sve stranice na napadnutom WordPress sajtu pretvaraju u alat za napade.

Zlonamerni kod bi mogao da se iskoristi za kreiranje novog administratorskog naloga, krađu kolačića za sesiju ili preusmeravanje korisnika na zlonamerni veb sajt, omogućavajući napadačima da dobiju administrativni pristup ili da zaraze posetioce koji pregledavaju kompromitovani sajt.

Ranjivost je otkrivena i prijavljena 22. aprila, a programer „Real-Time Find and Replace“ dodatka reagovao je objavljivanjem zakrpe u roku od nekoliko sati.

Wordfence je ovaj propust ocenio CVSS ocenom 8,8, dakle, reč je o veoma ozbiljnom propustu, što bi trebalo da natera sve korisnike da odmah ažuriraju dodatak na verziju 4.0.2 koja sadrži zakrpu za bag.

Nažalost, uprkos brzom odgovoru programera i dostupnosti zakrpe u poslednjih pet dana, tek nešto više od 27000 korisnika ažuriralo je dodatak.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

I nakon hakovanja, korisnici retko menjaju svoje lozinke

I nakon hakovanja, korisnici retko menjaju svoje lozinke

Samo trećina korisnika promeni lozinku nakon što se prijavi kompromitovanje podataka, pokazalo je nedavno istraživanje koje su objavili naučnici ... Dalje

MUP Srbije izdao upozorenje za građane i firme: Ne otvarajte emailove koje navodno šalje Batut, u pitanju je prevara

MUP Srbije izdao upozorenje za građane i firme: Ne otvarajte emailove koje navodno šalje Batut, u pitanju je prevara

Pripadnici Ministarstva unutrašnjih poslova, Odeljenja za suzbijanje visokotehnološkog kriminala, izdali su upozorenje za građane Republike Srbije ... Dalje

Zoom planira jaču enkripciju za naloge korisnika koji plaćaju uslugu

Zoom planira jaču enkripciju za naloge korisnika koji plaćaju uslugu

Zoom će dodati jaču enkripciju video pozivima korisnika koji plaćaju pretplatu kao i institucijama poput škola, ali kompanija ne planira da pobol... Dalje

Qihoo i Baidu ruše kinesku bot mrežu sa stotinama hiljada zaraženih računara

Qihoo i Baidu ruše kinesku bot mrežu sa stotinama hiljada zaraženih računara

Kineski korisnici se obično druže u svom kutku interneta, iza “Velikog vatrenog zida”, ali se i oni kao i ostatak sveta svakodnevno susr... Dalje

Bag u opciji ''Prijava sa Appleom'' omogućava hakovanje naloga u aplikacijama i na veb sajtovima

Bag u opciji ''Prijava sa Appleom'' omogućava hakovanje naloga u aplikacijama i na veb sajtovima

Vaša email adresa hakeru može biti dovoljna da preuzme vaš nalog na omiljenom veb sajtu ili u aplikaciji. Sve što napadač treba da uradi je da is... Dalje