پایگاه داده آسیب‌پذیری ملی دولت ایالات متحده توصیه‌ای درباره آسیب‌پذیری ذخیره‌شده بین سایت‌های اسکریپت در افزونه محبوب Popup Maker برای وردپرس صادر کرد.
پاپ آپ ساز برای وردپرس
یک آسیب پذیری در افزونه وردپرس Popup Maker – Popup for opt-ins, lead gen, & more کشف شد که در بیش از 700000 وب سایت نصب شده است.
افزونه Popup Maker با بسیاری از محبوب‌ترین فرم‌های تماس با ویژگی‌هایی که برای ایجاد تبدیل در فروشگاه‌های WooCommerce، ثبت‌نام در خبرنامه ایمیل و سایر برنامه‌های محبوب مرتبط با تولید سرنخ طراحی شده‌اند، ادغام می‌شود.
اگرچه این افزونه تنها از سال 2021 وجود داشته است، اما رشد فوق العاده ای را تجربه کرده و بیش از 4000 بررسی پنج ستاره را به دست آورده است.
آسیب پذیری Popup Maker
آسیب پذیری که بر این افزونه تأثیر می گذارد، اسکریپت بین سایتی ذخیره شده (XSS) نامیده می شود. به آن “ذخیره شده” می گویند زیرا یک اسکریپت مخرب در وب سایت آپلود شده و در خود سرور ذخیره می شود.
آسیب‌پذیری‌های XSS معمولاً زمانی رخ می‌دهند که ورودی نتواند آنچه را که آپلود می‌شود پاکسازی کند. هر جایی که کاربر بتواند داده‌ها را وارد کند آسیب‌پذیر می‌شود، کنترلی بر آنچه که می‌توان آپلود کرد وجود ندارد.
این آسیب‌پذیری خاص زمانی اتفاق می‌افتد که یک هکر بتواند اعتبار کاربری را با حداقل سطح دسترسی مشارکت‌کننده به دست آورد که حمله را آغاز می‌کند.
پایگاه داده ملی آسیب‌پذیری دولت ایالات متحده دلیل آسیب‌پذیری و نحوه وقوع یک حمله را شرح می‌دهد:
افزونه Popup Maker WordPress قبل از 1.16.9 یکی از ویژگی‌های کد کوتاه خود را تأیید نمی‌کند و از آن فرار نمی‌کند، که می‌تواند به کاربرانی که نقشی کمتر از مشارکت دارند اجازه انجام حملات Scripting Cross-Site ذخیره شده را بدهد.
تغییرات رسمی منتشر شده توسط نویسنده افزونه نشان می دهد که این سوء استفاده به شخصی با دسترسی در سطح مشارکت کننده اجازه می دهد جاوا اسکریپت را اجرا کند.
لاگ تغییرات افزونه Popup Maker برای نسخه V1.16.9 اشاره می کند:
“امنیت: آسیب پذیری XSS اصلاح شده که به مشارکت کنندگان اجازه می دهد جاوا اسکریپت بدون فیلتر را اجرا کنند.”
شرکت امنیتی WPScan (متعلق به Automattic) اثبات مفهومی را منتشر کرد که نشان می‌دهد این اکسپلویت چگونه کار می‌کند.
“به عنوان یک مشارکت کننده، کد کوتاه زیر را در یک پست/صفحه قرار دهید
[pum_sub_form name_field_type=”fullname” label_name=”Name” label_email=”Email” label_submit=”Subscribe” placeholder_name=”Name” placeholder_email=”Email” form_layout=”block” form_alignment=”center” form_style=”default” privacy_consent_enabled=”yes” privacy_consent_label=”Notify me about related content and special offers.” privacy_consent_type=”radio” privacy_consent_radio_layout=”inline” privacy_consent_yes_label=”Yes” privacy_consent_no_label=”No” privacy_usage_text=”If you opt in above we use this information send related content, discounts and other special offers.” redirect_enabled redirect=”javascript:alert(/XSS/)”]
XSS هنگام پیش‌نمایش/مشاهده پست/صفحه و ارسال فرم فعال می‌شود.
در حالی که هیچ توضیحی درباره میزان بد بودن این اکسپلویت وجود ندارد، به طور کلی، آسیب پذیری های ذخیره شده XSS می تواند عواقب شدیدی از جمله تصاحب کامل سایت، قرار گرفتن در معرض داده های کاربر و کاشت برنامه های اسب تروجان داشته باشد.
به‌روزرسانی‌های بعدی از زمان انتشار وصله اصلی برای نسخه 1.16.9 وجود داشته است، از جمله به‌روزرسانی جدیدتر که اشکالی را که با وصله امنیتی معرفی شده بود برطرف می‌کند.
جدیدترین نسخه افزونه Popup Maker V1.17.1 است.
ناشرانی که این افزونه را نصب کرده اند باید آخرین نسخه را به روز کنند.
استناد
توصیه پایگاه داده آسیب پذیری ملی دولت ایالات متحده را بخوانید:
CVE-2022-4381 جزئیات
مشاوره WPScan را بخوانید
Popup Maker < 1.16.9 - Contributor+ ذخیره شده XSS از طریق فرم اشتراک
تصویر برجسته توسط Shutterstock/Asier Romero