Cảnh báo lỗi bảo mật Cross-Site Scripting trên WordPress 4.8.1

WordPress là mã nguồn website được sử dụng rất phổ biến tại Việt Nam và toàn thế giới. Ước tính 60% website trên thế giới sử dụng WordPress. Hiện lỗi bảo mật Cross-Site Scripting (XSS) được phát hiện trên WordPress 4.8.1 trở về trước, lỗi bảo mật này ảnh hưởng đến các website WordPress sử dụng plugin bbpress hoặc đang mở cho các thành viên post bài. Thông tin cụ thể:

Những website WordPress nào bị ảnh hưởng bởi lỗi bảo mật này?

• Các website đang sử dụng plugin bbPress hoặc đang public cho các tài khoản với vai trò (phân quyền) Biên tập viên (Contributor role)
• Phiên bản WordPress 4.8.1 trở về trước

Lỗi XXS giúp hacker có thể gọi các script bên ngoài để thực hiện tấn công CSRF. Phương pháp tấn công CSRF sẽ giúp hacker lợi dụng truy cập của quản trị viên nhằm chỉnh sửa code PHP của trang web, thực hiện các lệnh từ xa (remote command) để chiếm quyền điều khiển website.

Thông tin kỹ thuật cụ thể

Lỗ hổng xảy ra trong trình soạn thảo WordPress, dùng để tạo và chỉnh sửa tất cả các bài viết (post), trang (page) và topic WordPress (trong bbPress).

Cụ thể hacker có thể bypass (vượt qua) các tính năng lọc ký tự đặt biệt của WordPress sau đó có thể khai thác được XSS theo các sau:

•  Tạo một post, page hoặc topic chức các mã XSS. Lưu lại ở dạng pubic hoặc chờ người có vai trò cao hơn duyệt bài (pending review).
• Đối tượng có quyền cao hơn khi xem hoặc duyệt bài viết sẽ bị thực thi mã XSS để khai thác chiếm quyền điều khiển hoặc hiệu chỉnh thông tin website.

Hình ảnh demo tấn công

Chèn mã Javascript khai thác XSS vào trình soạn thảo:

 

Khi xem trước bài viết, mã javascript sẽ được thực thi

Như vậy mã javascript đã bypass được tính năng filter của WordPress và có thể thực thi khi đối tượng cần khai thác xem bài viết.

Tổng kết

Hãy cập nhật Worpress của bạn lên phiên bản mới nhất ngay bây giờ để khắc phục các lỗi bảo mật của WordPress!

Theo blog.sucuri.net