【安全圈】WordPress程序爆出XSS漏洞，影响10万网站！

2020年7月10日 374点热度 0人点赞 0条评论

文章来源：ZDNet

KingComposer WordPress插件已修复了影响100,000个网站的跨站点脚本（XSS）漏洞。

KingComposer是用于基于WordPress的域的拖放页面生成器，无需对由内容管理系统（CMS）驱动的网站进行编程或直接编码。

Wordfence威胁情报团队于6月25日发现了XSS错误。该漏洞的跟踪记录为CVE-2020-15299，严重等级为6.1，在该插件使用的Ajax函数中发现了安全漏洞，以方便页面构建器功能。

Ajax函数之一并未得到积极使用，但仍可以通过将POST请求发送到名为admin-ajax.php的脚本并将其动作参数设置为kc_install_online_preset来启动。

该函数通过各种参数呈现JavaScript，然后对这些参数进行base64解码。

“这样，如果攻击者在恶意有效负载上使用base64编码，并诱使受害者在kc-online-preset-data参数中发送包含此有效负载的请求，则恶意有效负载将在受害者的浏览器中解码并执行”，研究人员说。

反映的XSS漏洞依赖于受害者执行特定操作以触发攻击。这可以通过提供需要单击的恶意链接来实现，例如，如果成功，则可能导致浏览器会话劫持或恶意软件下载和执行。

Wordfence威胁情报团队在发现插件后的第二天尝试与他们联系。但是，没有任何回应，导致该团队于6月25日直接与WordPress插件小组联系。到6月26日，与KingComposer开发人员取得了联系，并在2月9日发布了该补丁的修补版本2.9.5。

6月29日通过删除易受攻击的过时的Ajax功能解决了安全问题。

在撰写本文时，62.1％的用户已更新到2.9.5版，因此启用了KingComposer的网站仍有37.9％的风险被利用。