文章

WordPress默认主题存在DOM XSS(跨站脚本)漏洞

文章目录

使用了Genericons包的WordPress插件或主题都可能受一个基于DOM的XSS漏洞影响,因为WordPress默认主题Twenty Fifteen及知名插件Jetpack都包含了存在漏洞的页面example.html,影响百万用户。

漏洞成因

任何使用了genericons包的WordPress插件或主题都会受到这个基于DOM的跨站脚本漏洞的影响,因为通常情况下genericons包中都含有一个example.html文件,而该文件中包含一个基于DOM的XSS漏洞。

wordpress默认主题xss跨站漏洞

这些受影响的插件包括JetPack插件,它拥有超过100万的活跃安装量,同时受影响的还有默认安装的TwentyFifteen主题。在这一次的漏洞事件中,Automattic和WordPress团队遗留了一个简单的example.html文件,而该文件中包含一个基于DOM的XSS漏洞。

攻击方式

为了利用这个基于DOM的XSS漏洞,攻击者需要诱导受害者点击一个漏洞利用链接。然而不幸的是,安全威胁着已经准备好在世界范围内利用这个基于DOM的XSS漏洞。

Sucuri公司发表的一篇博文中陈述道:

“这种攻击有趣的一点是,在漏洞曝光的前几天我们就检测到了它的存在。为此,我们还做了一个有关该漏洞的报告,一些客户也得到了这份报告并声称他们受此漏洞影响,并且会指向下面的网址:

http:// site.com/wp-content/themes/twentyfifteen/genericons/example.html#1<img/ src=1 onerror= alert(1)>

在这个POC中,XSS打印了一个JavaScript警告,但可以利用它在你的浏览器中执行JavaScript脚本,如果你已管理员身份登录了网站,那么利用该漏洞将可以拿下整个网站控制权。”

安全建议

不过好消息是,很容易就能修复这个基于DOM的XSS漏洞,只需要删除example.html文件或者屏蔽任何对example.html文件的访问即可。

发表评论