WordPress opravil druhou kritickou zranitelnost ve své webové publikační platformě v pondělí, méně než týden po vyřešení podobného problému.
Správcům se doporučuje upgradovat na WordPress verze 4.2.1. Některé weby WordPress, které jsou kompatibilní a používají plugin nazvaný Tester aktualizace pozadí, se aktualizují automaticky.
WordPress je jednou z nejpoužívanějších webových publikačních platforem. Podle vlastního odhadu společnosti provozuje 23 procent webů na internetu, včetně hlavních vydavatelů jako Time a CNN.
Nejnovější chybu našel Jouko Pynnönen [cq] klikki Oy, finské softwarové společnosti. Pynnönen zjistil, že WordPress byl zranitelný vůči chybě skriptování mezi weby, pokud útočník vložil škodlivý kód do pole komentářů. Skript se spustí, když někdo zobrazí komentář, podle doporučení.
Chyby skriptování napříč webem patří mezi nejnebezpečnější a nejběžnější zranitelnosti na webu, což umožňuje spuštění nepoctivého kódu, který by měl být zakázán.
Pokud je při prohlížení škodlivého komentáře přihlášen správce WordPress, může útočník pomocí editoru pluginů a motivů provést libovolný kód na serveru. Potom je také možné změnit heslo správce, vytvořit nové účty správce nebo manipulovat s obsahem na webu. Tato chyba zabezpečení nemůže způsobit poškození běžným čtenářem, který si prohlíží komentář.
Klikki Oy tvrdil, že WordPress s ním přestal komunikovat loni v listopadu, když klikki našel jinou zranitelnost v WordPress. S nejnovější chybou klikki řekl, že se také pokusil informovat WordPress prostřednictvím finského orgánu pro počítačovou bezpečnost CERT-FI a HackerOne, který nabízí službu pro správu hlášení a odměn zranitelností.
21. dubna WordPress opravil zranitelnost podobnou té, kterou narazil Pynnönen. Cedric Van Bockhaven [CQ] zjistil, že WordPress byl náchylný k útoku skriptování napříč weby zahrnujícímu komentáře kvůli chování databáze MySQL, které povolil.
Zjistil, že nepoctivý kód lze provést, když se osoba vznáší nad nebezpečným skriptem vloženým do pole komentářů. Kód důkazu koncepce, který napsal Van Bockhaven, ukázal, jak lze do administračního panelu přidat nového uživatele. Tuto chybu lze také použít ke stažení pluginu, který spouští škodlivý kód na straně serveru, napsal na svém blogu.
Připojte se ke komunitám World World na Facebooku a LinkedIn a přidávejte komentáře k tématům, která jsou na prvním místě.
