तात्कालिक: ‘शॉर्टकोड ब्लॉक्स क्रिएटर अल्टीमेट’ में परावर्तित XSS (<= 2.2.0) — वर्डप्रेस साइट मालिकों को क्या जानना चाहिए

TL;DR

संक्षिप्त सारांश: एक परावर्तित XSS (CVE-2024-12166) शॉर्टकोड ब्लॉक्स क्रिएटर अल्टीमेट ≤ 2.2.0 को प्रभावित करता है। हालांकि सूचीबद्ध CVSS रेटिंग मध्यम (7.1) है, परावर्तित XSS को फ़िशिंग या तैयार लिंक के माध्यम से बड़े पैमाने पर उपयोग किया जा सकता है। हमले का वेक्टर है पृष्ठ क्वेरी पैरामीटर; शोषण के लिए पीड़ित को एक दुर्भावनापूर्ण URL पर जाना आवश्यक है लेकिन हमलावर को प्रमाणित होने की आवश्यकता नहीं है।.

• पहचानें कि क्या प्लगइन स्थापित है और संस्करण क्या है।.
• यदि विक्रेता का पैच उपलब्ध हो तो अपडेट करें। यदि नहीं, तो एक सुधार प्रदान होने तक प्लगइन को हटाने या निष्क्रिय करने पर विचार करें।.
• शमन लागू करें: प्लगइन UI तक पहुंच को सीमित करें, खतरनाक पृष्ठ मानों को फ़िल्टर करने के लिए WAF नियम लागू करें, लॉग को स्कैन और मॉनिटर करें, और समझौते के संकेतों के लिए गतिविधि की समीक्षा करें।.

समस्या क्या है?

शॉर्टकोड ब्लॉक्स क्रिएटर अल्टीमेट (≤ 2.2.0) HTML आउटपुट में एक पृष्ठ क्वेरी पैरामीटर के मान को पर्याप्त सर्वर-साइड सत्यापन या आउटपुट एन्कोडिंग के बिना दर्शाता है। एक हमलावर उस पैरामीटर में दुर्भावनापूर्ण इनपुट वाला URL तैयार कर सकता है। यदि एक पीड़ित — विशेष रूप से कोई जिसके पास प्रशासनिक विशेषाधिकार हैं — URL पर जाता है, तो ब्राउज़र इंजेक्टेड जावास्क्रिप्ट को निष्पादित कर सकता है, जिससे सत्र की चोरी, अनधिकृत क्रियाएं, या आगे का पेलोड वितरण हो सकता है।.

मुख्य तथ्य

• प्रभावित प्लगइन: शॉर्टकोड ब्लॉक्स क्रिएटर अल्टीमेट
• कमजोर संस्करण: ≤ 2.2.0
• भेद्यता वर्ग: परावर्तित क्रॉस-साइट स्क्रिप्टिंग (XSS)
• CVE: CVE-2024-12166
• आवश्यक विशेषाधिकार: कोई नहीं (हमले का वेक्टर प्रमाणित नहीं है, लेकिन पीड़ित की सहभागिता आवश्यक है)
• CVSS: 7.1 (मध्यम)
• शमन स्थिति: प्रकाशन के समय प्रभावित संस्करणों के लिए कोई विक्रेता पैच उपलब्ध नहीं है

परावर्तित XSS वर्डप्रेस साइटों के लिए क्यों महत्वपूर्ण है

एक हांगकांग के प्रैक्टिशनर के दृष्टिकोण से: वर्डप्रेस साइटों में अक्सर कई उपयोगकर्ता होते हैं जिनके पास उच्च विशेषाधिकार होते हैं। एक परावर्तित XSS जो एक व्यवस्थापक तक पहुंचता है, CVSS संख्या की तुलना में अधिक प्रभाव डाल सकता है। हमलावर आमतौर पर पीड़ितों को तैयार URLs पर निर्देशित करने के लिए सामाजिक इंजीनियरिंग का उपयोग करते हैं; बड़े पैमाने पर फ़िशिंग और व्यापक रूप से तैनात प्लगइनों का संयोजन इस कमजोरियों को एक प्रभावी प्रारंभिक वेक्टर बना सकता है।.

भेद्यता कैसे काम करती है (उच्च स्तर, गैर-शोषणकारी)

1. प्लगइन एक पृष्ठ GET पैरामीटर को अनुरोध से पढ़ता है।.
2. मान को HTML आउटपुट में पर्याप्त एस्केपिंग या एन्कोडिंग के बिना डाला जाता है।.
3. यदि मान में मार्कअप या जावास्क्रिप्ट संदर्भ होते हैं, तो ब्राउज़र प्रतिक्रिया को रेंडर करते समय इसे निष्पादित कर सकता है - यह प्रतिबिंबित XSS है।.
4. क्योंकि डेटा प्रतिबिंबित होता है (स्टोर नहीं किया जाता), शोषण के लिए सामान्यतः एक उपयोगकर्ता को एक तैयार लिंक खोलने के लिए मनाने की आवश्यकता होती है।.

व्यावहारिक खतरा: यदि एक व्यवस्थापक एक तैयार लिंक खोलता है, तो हमलावर व्यवस्थापक इंटरफ़ेस में क्रियाएँ करने, सत्र टोकन चुराने, बैकडोर स्थापित करने, या स्थायी समझौते के लिए पिवट करने का प्रयास कर सकते हैं।.

साइट मालिकों के लिए तात्कालिक कार्रवाई (घंटों के भीतर)

प्राथमिकता कार्य जो आपको अब करने चाहिए:

1. सूची और संस्करण जांच

• वर्डप्रेस में लॉग इन करें और पुष्टि करें कि क्या शॉर्टकोड ब्लॉक्स क्रिएटर अल्टीमेट स्थापित है और संस्करण नोट करें।.
• यदि आप कई साइटों का प्रबंधन करते हैं, तो साइटों के बीच प्लगइन संस्करणों को सूचीबद्ध करने के लिए अपने प्रबंधन उपकरण का उपयोग करें।.

2. यदि आप एक कमजोर संस्करण चला रहे हैं (≤ 2.2.0)

• यदि इसकी कार्यक्षमता आवश्यक नहीं है तो प्लगइन को निष्क्रिय या हटा दें।.
• यदि प्लगइन आवश्यक है और कोई पैच उपलब्ध नहीं है, तो एक सुधार जारी होने तक प्लगइन के व्यवस्थापक पृष्ठों (IP या सर्वर नियमों द्वारा) तक पहुंच को अवरुद्ध करें।.
• यदि आप तुरंत प्लगइन को निष्क्रिय नहीं कर सकते, तो दुर्भावनापूर्ण को कम करने के लिए वेब सर्वर या WAF स्तर पर लक्षित इनपुट फ़िल्टरिंग लागू करें। पृष्ठ मान।.

3. WAF / वर्चुअल पैचिंग लागू करें (सिफारिश की गई)

पैरामीटर और समान इनपुट की जांच और सामान्यीकृत करने के लिए नियम लागू करें। पृष्ठ सामान्य XSS संकेतकों को शामिल करने वाले अनुरोधों को अवरुद्ध या सैनीटाइज करें: स्क्रिप्ट टैग, जावास्क्रिप्ट: URI, संदिग्ध एन्कोडिंग और HTML इवेंट विशेषताएँ। अत्यधिक झूठे सकारात्मक से बचने के लिए नियमों को ट्यून रखें।.

4. संकेतकों के लिए स्कैन और निगरानी करें

• साइट फ़ाइलों और डेटाबेस में मैलवेयर स्कैन चलाएँ।.
• अनुरोधों के लिए एक्सेस लॉग खोजें जिसमें शामिल हो पृष्ठ= संदिग्ध पात्रों या लंबे एन्कोडेड अनुक्रमों के साथ।.
• अप्रत्याशित प्रशासनिक गतिविधियों, नए उपयोगकर्ताओं या कॉन्फ़िगरेशन परिवर्तनों के लिए वर्डप्रेस ऑडिट लॉग की समीक्षा करें।.

5. हितधारकों को सूचित करें

• प्रशासकों, संपादकों और आपके होस्टिंग प्रदाता को सूचित करें। उन्हें अप्रत्याशित लिंक पर क्लिक न करने की सलाह दें पृष्ठ= अज्ञात स्रोतों से प्राप्त पैरामीटर के साथ।.
• यदि साइट को तीसरे पक्ष द्वारा प्रबंधित किया जाता है तो सुधार समयरेखा का समन्वय करें।.

सुझाए गए WAF नियम (सुरक्षित, गैर-विशिष्ट)

विचार करने के लिए नियमों के प्रकार - सावधानी से ट्यून करें और झूठे सकारात्मक के लिए निगरानी करें:

• उन अनुरोधों को ब्लॉक/सैनिटाइज करें जहाँ पृष्ठ कच्चे
  मेरा ऑर्डर देखें

  0

  उप-योग

  चेकआउट पर कर और शिपिंग की गणना की गई

  चेकआउट