WordPress NewStatPress eklentisinde kalıcı bir Siteler Arası Komut Dosyası (XSS) güvenlik açığı bulundu. Bu güvenlik açığını kullanarak bir saldırgan, uygulamaya kötü amaçlı JavaScript kodu enjekte edebilir ve bu, ilgili uygulama içeriğini görüntüleyen herhangi bir kullanıcının tarayıcısında yürütülür.
WordPress NewStatPress eklentisi, bir WordPress sitesindeki ziyaretlerin istatistiklerini yönetmek için gerçek zamanlı bir eklentidir. Harici web analizi gerektirmez. WordPress NewStatPress eklentisinde, kimliği doğrulanmamış bir saldırganın, ilgili uygulama içeriğini görüntüleyen herhangi bir kullanıcının tarayıcısı içinde çalışacak kötü amaçlı JavaScript kodunu uygulamaya enjekte etmesine olanak tanıyan kalıcı bir Siteler Arası Komut Dosyası güvenlik açığı keşfedilmiştir. Saldırgan tarafından sağlanan kod, kurbanların oturum belirteçlerini veya oturum açma kimlik bilgilerini çalmak, onlar adına rastgele eylemler gerçekleştirmek ve tuş vuruşlarını günlüğe kaydetmek veya kötü amaçlı yazılım göndermek gibi çok çeşitli eylemler gerçekleştirebilir.
Detaylar
WordPress NewStatPress eklentisi, NewStatPress eklentisinin savunmasız bir sürümüne sahip bir WordPress sitesindeki bir kaynak için GET isteğine sağlanan girdiyi yeterince kontrol edemiyor. Ek olarak Referer başlığına sağlanan giriş, yeterince sterilize edilmemiştir. Sonuç olarak, kötü niyetli bir istek Ziyaretler sayfasının Son Ziyaretçiler ve Ziyaretçiler sekmesinde depolanacak ve şüphelenmeyen bir kullanıcı bu sayfadaki belirtilen sekmelerden birini görüntülediğinde yükü yürütecektir.
Kalıcı Siteler Arası Komut Dosyası güvenlik açıkları tipik olarak yansıtılan güvenlik açıklarından daha ciddidir, çünkü hedef kullanıcılara ulaşmak için ayrı bir teslimat mekanizması gerektirmezler, bu durumda potansiyel olarak istatistikleri inceleyen bir WP yöneticisi.
Hidden content - for more
Bu içeriği görebilmeniz için bu konuya cevap vermeniz gerekmektedir.
