پایگاه داده ملی آسیب پذیری ایالات متحده یک توصیه در مورد دو آسیب پذیری کشف شده در افزونه All In One SEO WordPress منتشر کرد.
افزونه All In One SEO (AIOSEO) که بیش از سه میلیون نصب فعال دارد، در برابر دو حمله Cross-site scripting (XSS) آسیب پذیر است.
این آسیبپذیریها بر تمامی نسخههای AIOSEO تا و از جمله نسخه 4.2.9 تأثیر میگذارد.
اسکریپت بین سایتی ذخیره شده
حملات اسکریپت بین سایتی (XSS) شکلی از سوء استفاده تزریقی است که شامل اجرای اسکریپت های مخرب در مرورگر کاربر است که می تواند منجر به دسترسی به کوکی ها، جلسات کاربر و حتی تصاحب سایت شود.
دو نوع رایج حملات Cross-Site Scripting عبارتند از:
- اسکریپت بین سایتی منعکس شده
- اسکریپت بین سایتی ذخیره شده
یک Reflected XSS متکی بر ارسال یک اسکریپت برای کاربری است که روی آن کلیک میکند، که به سایت آسیبپذیر میرود و سپس حمله را به کاربر منعکس میکند.
ذخیره شده XSS زمانی است که اسکریپت مخرب در خود سایت آسیب پذیر قرار دارد.
هکرها از هر نوع ورودی به وبسایت مانند فرم تماس، فرم آپلود تصویر، هر منطقهای که کسی میتواند آپلود یا ارسال کند، استفاده میکنند.
این آسیبپذیری زمانی ایجاد میشود که بررسیهای امنیتی کافی برای مسدود کردن ورودیهای ناخواسته وجود نداشته باشد.
دو مشکلی که بر افزونه AIOSEO تأثیر میگذارد، هر دو آسیبپذیری Scripting Cross-Site ذخیره شده هستند.
CVE-2023-0585
به آسیبپذیریها شمارههایی برای پیگیری آنها اختصاص داده میشود. اولین مورد اختصاص داده شد، CVE-2023-0585.
این آسیبپذیری از ناتوانی در سالمسازی ورودیها ناشی میشود. این بدان معنی است که فیلترینگ کافی برای جلوگیری از آپلود یک اسکریپت مخرب توسط هکر انجام نمی شود.
اطلاعیه پایگاه داده ملی آسیب پذیری (NVD) آن را اینگونه توصیف می کند:
افزونه All in One SEO Pack برای وردپرس در برابر اسکریپتهای بین سایتی ذخیره شده از طریق پارامترهای متعدد در نسخههای 4.2.9 آسیبپذیر است، زیرا به دلیل سالمسازی ناکافی ورودی و خروج خروجی از آن استفاده میشود.
این امکان را برای مهاجمان احراز هویت شده با نقش Administrator یا بالاتر فراهم میکند تا اسکریپتهای وب دلخواه را در صفحاتی تزریق کنند که هر زمان که کاربر به صفحه تزریق شده دسترسی پیدا کند، اجرا میشوند.
به این آسیب پذیری سطح تهدید 4.4 (از ده) اختصاص داده شد که سطح متوسطی است.
برای انجام این حمله، مهاجم ابتدا باید امتیازات مدیر یا بالاتر را کسب کند.
CVE-2023-0586
این حمله مشابه حمله اول است. تفاوت اصلی این است که یک مهاجم باید حداقل یک سطح مشارکت کننده از امتیاز دسترسی به وب سایت را در نظر بگیرد.
یک نقش در سطح مشارکت کننده توانایی ایجاد محتوا را دارد اما نمی تواند آن را منتشر کند.
این آسیب پذیری نیز یک تهدید در سطح متوسط است اما امتیاز آسیب پذیری بالاتر 6.4 به آن اختصاص داده شده است.
اینم توضیحات:
افزونه All in One SEO Pack برای وردپرس در برابر اسکریپتهای بین سایتی ذخیره شده از طریق پارامترهای متعدد در نسخههای 4.2.9 آسیبپذیر است، زیرا به دلیل سالمسازی ناکافی ورودی و خروج خروجی از آن استفاده میشود.
این امکان را برای مهاجمان احراز هویت شده با نقش Contributor+ فراهم میکند تا اسکریپتهای وب دلخواه را در صفحات تزریق کنند که هر زمان که کاربر به صفحه تزریق شده دسترسی پیدا کند، اجرا میشوند.
عمل پیشنهاد شده
اولین آسیبپذیری به امتیازات سطح مدیر نیاز دارد و امتیاز سطح تهدید متوسط نسبتاً پایین 4.4 به آن اختصاص داده شده است.
اما آسیبپذیری دوم فقط به سطح پایینتری از امتیاز نیاز دارد و امتیاز بالاتری با 6.4 دارد.
بهطور کلی، بهروزرسانی همه افزونههای آسیبپذیر سیاست خوبی است. پلاگین AIOSEO نسخه 4.3.0 حاوی اصلاحات امنیتی است که در رسمی به آن اشاره شده است تغییرات AIOSEO به عنوان “سخت شدن امنیتی” اضافی.
جزئیات این دو آسیب پذیری را بخوانید:
تصویر ویژه توسط Shutterstock/Bangun Stock Productions
منبع: https://www.searchenginejournal.com/aioseo-wordpress-plugin-vulnerabilities/480949/