WordPress Live Chat插件中的XSS漏洞让攻击者可以破解WP站点

华盟学院山东省第二期线下学习计划

WordPress的实时聊天支持插件中的漏洞可能会被攻击者用来在使用它的网站中注入恶意脚本

Sucuri的研究人员在WordPress 的WP Live Chat支持插件中发现了一个存储/持久的跨站点脚本(XSS)漏洞

远程未经身份验证的攻击者可以利用该漏洞在运行WordPress CMS和使用
实时聊天支持插件的网站中注入恶意脚本 。在受影响的网站上没有帐户的远程攻击者可能会利用此问题。

据估计,该插件目前有超过60,000个安装,它实现了一个聊天解决方案,用于客户参与和转换。

8.0.27之前的插件版本容易受到存储/持久XSS的攻击。

专家指出,触发此问题的攻击可以自动化,以打击广泛的受害者。

XSS漏洞可能允许黑客在网站中注入恶意代码并破坏访问者的帐户或将其暴露给修改后的页面内容。攻击者可能会使用跨站点脚本漏洞绕过访问控制,例如同源策略。 

当恶意代码添加到存储在服务器上的部分时,XSS是持久的。每次访问者的浏览器加载页面时,它都会解析恶意代码并执行恶意代码。

为了利用此漏洞,可以使用  不受保护的admin_init 挂钩作为攻击媒介:

专家发现,在更新插件设置时,wplc_head_basic函数  缺少适当的权限检查。

它然后执行一个具有更多关键设置的动作钩子”阅读Sucuri发布的咨询。“由于” admin_init “挂钩可以调用访问  /wp-admin/admin-post.php  或  /wp-admin/admin-ajax.php,未经身份验证的攻击者可以使用这些端点随意更新选项” wplc_custom_js “。“

该选项的内容将添加到每个加载实时聊天支持的页面,允许攻击者在多个页面上注入恶意JavaScript代码。

为了保护您的WordPress安装,请更新WP Live Chat支持 pluign 到8.0.27版

华盟网

2019年5月17日

www.idc126.com