WordPress 4.0以下版本存在跨站脚本漏洞

  • 时间:
  • 浏览:0
  • 来源:3分时时彩官网_3分时时彩下注平台注册_3分时时彩邀请码

WordPress是著名的开源CMS(内容管理)系统。近日,在4.0版本以下的Wordpress被发现位于跨站脚本漏洞(XSS),新版本的Wordpress肯能修复了要是 要是 的问提。为了安全起见,建议站长们尽早更新到WP新版本。

该漏洞是由芬兰IT公司Klikki Oy的CEO Jouko Pynnonen发现的,只位于于Wordpress4.0以下的版本中。据调查得知全球有86%的Wordpress网站都感染了要是 漏洞,也就原应全球数百万的网站都位于着潜在的危险。要是 知名网站也使用了Wordpress软件,如Time、UPS、NBC Sports、CNN、Techcrunch 和FreeBuf:)

漏洞概述

WordPress中位于一系列的跨站脚本漏洞,攻击者利用跨站脚本伪造请求以欺骗用户更改登录密码,肯能盗取管理员权限。

如Jouko Pynnonen解释道:

当博客管理员查看评论时,评论中的漏洞代码会自动在其Web浏览器上运行。要是 恶意代码会偷偷接管管理员账户,从而执行管理员操作。

为了证明要是 人的观点,研究人员创建了另2个漏洞利用应用系统进程(exploits)。利用要是 exploits,要是 人创建了另2个新的WordPress管理员账户,改变了当前管理员密码,并在服务器上执行了攻击PHP代码。

漏洞分析

要是 的问提出在wordpress的留言处,通常请况下留言是允许要是 html标签的,比如、等等,然而标签富含要是 属性是在白名单里的,比如标签允许href属性,要是 onmouseover属性是不允许的。

要是 在另2个字符串格式化函数wptexturize()上跳出了要是 的问提,要是 函数会在每另2个留言上执行,函数的功能是把当前的字符转义成html实体,比如把“”转义为“”。为了出理 干扰html格式,wptexturize()首先会以html标签为标准把文本分成若干段,除了html标签,还有方括号标签比如[code]。分割的功能是由下列正则表达式完成的。

在wp-includes/formatting.php代码的第156行:

$textarr = preg_split('/(<.*>|\[.*\])/Us', $text, -1,                         

PREG_SPLIT_DELIM_CAPTURE);

要是 肯能文章中混合着尖括号<>和方括号[]会造成转义混淆,原应每段代码没有转义。

攻击者可否 通过要是 漏洞在允许的HTML标签中注入样式参数形成XSS攻击,比如通过建立另2个透明的标签覆盖窗口,捕捉onmouseover事件。

漏洞利用测试

以下代码可否 用于测试

[<a href="test" title="]">[" NOT VULNERABLE]

修复建议

要是 漏洞很容易被攻击者利用,WordPress官方建议用户尽快更新补丁,而在新版WordPress 4.0.1肯能修复了所有的漏洞。

WordPress官方于11月20日发布了官方补丁,目前大多数的WordPress网站上后会收到补丁更新提醒通知;肯能有要是 要是 原应使得你无法更新补丁,Klikki Oy公司还提供了另外另2个出理 方案(workaround)可否 修复该漏洞。

wptexturize可否 通过在wp-includes/formatting.php开头增加另2个返回参数出理 要是 要是 的问提:

function wptexturize($text) {        

return $text;                  // ADD THIS LINE        

global $wp_cockneyreplace;

额外提醒

肯能你使用的是WP-Statistics WordPress插件,你也应该更新补丁。肯能要是 插件上也位于跨站脚本漏洞,攻击者同样可否 实施攻击。

有好的文章希望站长之家帮助分享推广,猛戳这里我可否 投稿