Kerentanan WordPress Menggunakan Plugin Header dan Footer Mencapai +1 Juta – Beragampengetahuan

WPCode – Sisipkan Header dan Footer + Cuplikan Kode Kustom Plugin WordPress dengan lebih dari satu juta pemasangan ditemukan memiliki kerentanan yang memungkinkan penyerang menghapus file di server.

Peringatan untuk kerentanan telah diposting di Database Kerentanan Nasional (NVD) pemerintah AS.

Masukkan plugin header dan footer

Plugin WPCode (sebelumnya Sisipkan Header dan Footer untuk WPBeginner) adalah plugin populer yang memungkinkan penerbit WordPress menambahkan potongan kode ke area header dan footer.

Ini berguna untuk penayang yang perlu menambahkan kode verifikasi situs Google Search Console, kode CSS, data terstruktur, atau bahkan kode AdSense, hampir semua yang ada di header atau footer situs.

Kerentanan Cross-Site Request Forgery (CSRF).

Plugin WPCode – Insert headers and Footers sebelum versi 2.0.9 berisi konten yang telah diidentifikasi sebagai kerentanan Cross-Site Request Forgery (CSRF).

Serangan CSRF mengandalkan menipu pengguna akhir yang terdaftar di situs WordPress agar mengklik tautan yang melakukan tindakan yang tidak diinginkan.

Penyerang pada dasarnya menggunakan kredensial pengguna terdaftar untuk melakukan tindakan di situs tempat pengguna terdaftar.

Ketika pengguna WordPress yang masuk mengklik tautan yang berisi permintaan jahat, situs tersebut wajib memenuhi permintaan tersebut karena mereka menggunakan browser dengan cookie yang mengidentifikasi pengguna yang masuk dengan benar.

Penyerang mengandalkan tindakan jahat yang dilakukan oleh pengguna terdaftar tanpa sepengetahuan mereka.

Open Worldwide Application Security Project (OWASP) nirlaba menjelaskan kerentanan CSRF:

“Cross-Site Request Forgery (CSRF) adalah serangan yang memaksa pengguna akhir untuk melakukan tindakan yang tidak diinginkan pada aplikasi web yang saat ini diautentikasi.

Menggunakan rekayasa sosial, seperti mengirim tautan melalui email atau obrolan, penyerang dapat mengelabui pengguna aplikasi web untuk mengambil tindakan yang dipilih penyerang.

Jika korbannya adalah pengguna biasa, serangan CSRF yang berhasil memaksa pengguna untuk melakukan permintaan perubahan status seperti mentransfer uang, mengubah alamat email, dll.

Jika korbannya adalah akun administratif, CSRF dapat membahayakan seluruh aplikasi web. “

Situs web Common Weakness Enumeration (CWE), yang disponsori oleh Departemen Keamanan Dalam Negeri AS, memberikan definisi CSRF tersebut:

“Aplikasi web tidak atau tidak dapat memverifikasi secara memadai bahwa pengguna yang mengirimkan permintaan dengan sengaja memberikan permintaan yang dibuat dengan baik, valid, dan konsisten.

… ketika server web dirancang untuk menerima permintaan dari klien tanpa mekanisme apa pun untuk memverifikasi bahwa itu dikirim dengan sengaja, maka penyerang dapat mengelabui klien agar membuat permintaan yang tidak disengaja ke server web, yang akan diproses sebagai tanya tulus.

Ini dapat dilakukan melalui URL, pemuatan gambar, XMLHttpRequest, dll., dan dapat menyebabkan pemaparan data atau eksekusi kode yang tidak terduga. “

Dalam kasus khusus ini, tindakan yang tidak diinginkan dibatasi untuk menghapus file log.

Database Kerentanan Nasional menerbitkan rincian kerentanan:

“Plugin WPCode WordPress sebelum 2.0.9 memiliki cacat CSRF saat menghapus log dan tidak dapat memastikan bahwa file yang akan dihapus ada di folder yang diharapkan.

Ini dapat memungkinkan penyerang untuk meminta pengguna dengan kemampuan wpcode_activate_snippets menghapus file log arbitrer di server, termasuk file log di luar folder blog. “

Situs web WPScan (dimiliki oleh Automattic) menerbitkan bukti konsep untuk kerentanan tersebut.

Dalam hal ini, bukti konsep adalah kode yang memverifikasi dan membuktikan bahwa exploit berfungsi.

Berikut bukti konsepnya:

"Make a logged in user with the wpcode_activate_snippets capability open the URL below



This will make them delete the ~/wp-content/delete-me.log"

Celah kedua di tahun 2023

Ini adalah kerentanan kedua yang ditemukan oleh plugin WPCode Insert Headers and Footers pada tahun 2023.

Kerentanan lain ditemukan pada Februari 2023, memengaruhi versi 2.0.6 atau sebelumnya, yang digambarkan oleh perusahaan keamanan WordPress Wordfence sebagai “Tidak ada otorisasi untuk mengungkapkan/memperbarui kunci sensitif.”

Menurut laporan bug NVD, bug tersebut juga memengaruhi versi sebelum 2.0.7.

NVD memperingatkan tentang kerentanan awal:

“Plugin WPCode WordPress sebelum 2.0.7 tidak cukup melakukan pemeriksaan izin untuk beberapa tindakan AJAX, hanya nonces.

Hal ini dapat mengakibatkan mengizinkan pengguna yang diautentikasi yang dapat mengedit postingan untuk memanggil titik akhir yang terkait dengan otentikasi Perpustakaan WPCode (seperti memperbarui dan menghapus kunci otorisasi). “

WPCode merilis tambalan keamanan

Changelog untuk WPCode – Masukkan Plugin Header dan Footer WordPress secara bertanggung jawab menyatakan bahwa mereka menambal masalah keamanan.

Notasi changelog untuk pembaruan versi 2.0.9 menyatakan:

“Perbaiki: Pengerasan keamanan untuk menghapus log.”

Notasi changelog penting karena memberi tahu pengguna plugin tentang apa yang baru dan memungkinkan mereka membuat keputusan yang tepat apakah akan melanjutkan pembaruan atau menunggu hingga pembaruan berikutnya.

WPCode bertindak secara bertanggung jawab dengan segera menanggapi penemuan kerentanan dan mendokumentasikan perbaikan keamanan di changelog.

tindakan yang direkomendasikan

Pengguna WPCode – Masukkan plugin header dan Footers disarankan untuk memperbarui plugin mereka setidaknya ke versi 2.0.9.

Versi terbaru dari plugin ini adalah 2.0.10.

Baca tentang kerentanan di situs web NVD:

Detail CVE-2023-1624