微信号:freebuf
使用了Genericons包的WordPress插件或主题都可能受一个基于DOM的XSS漏洞影响,因为WordPress默认主题Twenty Fifteen及知名插件Jetpack都包含了存在漏洞的页面example.html,影响百万用户。
漏洞成因
任何使用了genericons包的WordPress插件或主题都会受到这个基于DOM的跨站脚本漏洞的影响,因为通常情况下genericons包中都含有一个example.html文件,而该文件中包含一个基于DOM的XSS漏洞。
这些受影响的插件包括JetPack插件,它拥有超过100万的活跃安装量,同时受影响的还有默认安装的TwentyFifteen主题。在这一次的漏洞事件中,Automattic和WordPress团队遗留了一个简单的example.html文件,而该文件中包含一个基于DOM的XSS漏洞。
攻击方式
为了利用这个基于DOM的XSS漏洞,攻击者需要诱导受害者点击一个漏洞利用链接。然而不幸的是,安全威胁着已经准备好在世界范围内利用这个基于DOM的XSS漏洞。
Sucuri公司发表的一篇博文中陈述道:
安全建议
不过好消息是,很容易就能修复这个基于DOM的XSS漏洞,只需要删除example.html文件或者屏蔽任何对example.html文件的访问即可。
* 参考来源securityaffairs,有适当修改,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)
联系客服