在發(fā)現(xiàn)安全漏洞后，安全人員敦促WordPress高級(jí)自定義插件的用戶更新版本6.1.6。

該漏洞被標(biāo)識(shí)為 CVE-2023-30777，與反射式跨站點(diǎn)腳本 （XSS） 的情況有關(guān)，該漏洞可被濫用向其他良性網(wǎng)站注入任意可執(zhí)行腳本。

該插件有免費(fèi)和專業(yè)兩個(gè)版本，有超過兩百萬的安裝。該漏洞于2023年5月2日被發(fā)現(xiàn)并報(bào)告給維護(hù)人員。

Patchstack研究員Rafie Muhammad說：該漏洞允許任何未經(jīng)認(rèn)證的用戶竊取敏感信息，在這種情況下，通過誘使有特權(quán)的用戶訪問特制的URL路徑，在WordPress網(wǎng)站上進(jìn)行特權(quán)升級(jí)。

反射式XSS攻擊通常發(fā)生在，受害者被騙點(diǎn)擊電子郵件或其他途徑發(fā)送的假鏈接，導(dǎo)致惡意代碼被發(fā)送到易受攻擊的網(wǎng)站，該網(wǎng)站將攻擊反射到用戶的瀏覽器上。

這種社會(huì)工程元素意味著反射式XSS不具有與存儲(chǔ)式XSS攻擊相同的覆蓋范圍和規(guī)模，因此攻擊者將惡意鏈接分發(fā)給盡可能多的受害者。

Imperva指出：反射式XSS攻擊通常是由于傳入的請(qǐng)求沒有得到充分的凈化，從而允許操縱網(wǎng)絡(luò)應(yīng)用程序的功能和激活惡意腳本。

值得注意的是，CVE-2023-30777可以在Advanced Custom Fields的默認(rèn)安裝或配置上激活，盡管只有對(duì)該插件有訪問權(quán)限的登錄用戶才有可能這樣做。

Craft CMS修補(bǔ)了兩個(gè)中等強(qiáng)度的XSS漏洞（CVE-2023-30177和CVE-2023-31144），攻擊者可以利用這些漏洞提供惡意的有效載荷。

此外，cPanel 產(chǎn)品中還披露了另一個(gè) XSS 漏洞（CVE-2023-29489，CVSS 分?jǐn)?shù)：6.1），該漏洞可以在沒有任何身份驗(yàn)證的情況下被利用來運(yùn)行任意 JavaScript。

Assetnote的Shubham Shah說：攻擊者不僅可以攻擊cPanel的管理端口，還可以攻擊運(yùn)行在80和443端口的應(yīng)用程序。

參考鏈接：https://thehackernews.com/2023/05/new-vulnerability-in-popular-wordpress.html