WordPress默认主题存在DOM XSS（跨站脚本）漏洞，影响百万用户

微信号：freebuf

使用了Genericons包的WordPress插件或主题都可能受一个基于DOM的XSS漏洞影响，因为WordPress默认主题Twenty Fifteen及知名插件Jetpack都包含了存在漏洞的页面example.html，影响百万用户。

漏洞成因

任何使用了genericons包的WordPress插件或主题都会受到这个基于DOM的跨站脚本漏洞的影响，因为通常情况下genericons包中都含有一个example.html文件，而该文件中包含一个基于DOM的XSS漏洞。

这些受影响的插件包括JetPack插件，它拥有超过100万的活跃安装量，同时受影响的还有默认安装的TwentyFifteen主题。在这一次的漏洞事件中，Automattic和WordPress团队遗留了一个简单的example.html文件，而该文件中包含一个基于DOM的XSS漏洞。

攻击方式

为了利用这个基于DOM的XSS漏洞，攻击者需要诱导受害者点击一个漏洞利用链接。然而不幸的是，安全威胁着已经准备好在世界范围内利用这个基于DOM的XSS漏洞。

Sucuri公司发表的一篇博文中陈述道：

“这种攻击有趣的一点是，在漏洞曝光的前几天我们就检测到了它的存在。为此，我们还做了一个有关该漏洞的报告，一些客户也得到了这份报告并声称他们受此漏洞影响，并且会指向下面的网址：

http:// site.com/wp-content/themes/twentyfifteen/genericons/example.html#1<img/ src=1 onerror= alert(1)>

在这个POC中，XSS打印了一个JavaScript警告，但可以利用它在你的浏览器中执行JavaScript脚本，如果你已管理员身份登录了网站，那么利用该漏洞将可以拿下整个网站控制权。”

安全建议

不过好消息是，很容易就能修复这个基于DOM的XSS漏洞，只需要删除example.html文件或者屏蔽任何对example.html文件的访问即可。

* 参考来源securityaffairs，有适当修改，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）