开发者社区> 问答> 正文

【漏洞公告】WordPress存储型XSS漏洞

2017年10月19日,阿里云安全威胁情报系统监测到 WordPress 官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞,通过该漏洞,攻击者可以在受影响网站的评论区写下包含恶意代码的留言,当该留言页面被打开时,其中的恶意代码会执行,导致该网站的权限,插件等被更改,甚至被完全控制,安全风险为高危。
阿里云安全建议站长们关注,并尽快开展自查工作,及时更新WordPress。
具体详情如下:                                 
                                              


漏洞编号:
暂无
漏洞名称:
WordPress储存型XSS漏洞
官方评级:
高危
漏洞描述:
该漏洞影响WordPress4.8.1版本,攻击者可以未授权通过WordPress的评论注入JavaScript攻击代码。评论被查看的时候,JavaScript就触发了。如果管理员登陆查看评论触发后,可能导致攻击者进入后台通过主题或插件编辑从而命令执行控制整个服务器,安全风险为高危
漏洞利用条件和方式:
远程利用
PoC状态:
目前PoC已经公开
漏洞影响范围:
受影响的版本 WordPress 4.8.1
不受影响的版本 WordPress 4.8.2
漏洞检测:
开发或运维人员排查是否使用了受影响版本范围内的WordPress。
漏洞修复建议(或缓解措施):
  • 目前已经发布最新版本4.8.2 ,建议用户登录到面板点击“更新升级"修复该漏洞;
  • 阿里云WAF 支持该漏洞防御。
情报来源:
  • https://blog.sucuri.net/2017/09/stored-cross-site-scripting-vulnerability-in-wordpress-4-8-1.html
  • https://wordpress.org/news/2017/09/wordpress-4-8-2-security-and-maintenance-release/

小科普:
存储型XSS漏洞是什么?
存储型XSS漏洞具有持久化,被插入的恶意代码是存储在服务器中的,如:在个人信息或发表文章等地方,如果没有过滤或过滤不严,那么这些代码将储存到服务器中,用户访问该页面的时候触发代码执行,这种存储类型的XSS漏洞安全风险很高,容易造成蠕虫,盗窃cookie等。
反射型XSS漏洞是什么?
反射型XSS,它具有非持久化特性,需要欺骗用户自己去点击(用户交互)链接才能触发XSS代码(服务器中没有这样的页面和内容),一般容易出现在搜索页面。



展开
收起
正禾 2017-10-20 09:08:59 8742 0
7 条回答
写回答
取消 提交回答
  • php900织梦模板(http://www.php900.com)
    Re【漏洞公告】WordPress存储型XSS漏洞
    2017-11-17 16:28:35
    赞同 展开评论 打赏
  • 分享阿里云优惠信息和选购指导
    Re【漏洞公告】WordPress存储型XSS漏洞
    购买阿里云服务器使用券,享官网全部优惠,更可获得幸运降临,抽取实物大奖: https://promotion.aliyun.com/ntms/act/ambassador/sharetouser.html?userCode=kzp4uq6k
    2017-11-14 23:23:02
    赞同 展开评论 打赏
  • 无知人生,记录点滴。 不积跬步,无以至千里;不积小流,无以成江海 订阅号:微wx笑, 个人站点:https://www.ivu4e.cn/,https://www.ivu4e.com/ CSDN博客:https://blog.csdn.net/testcs_dn
    Re【漏洞公告】WordPress存储型XSS漏洞
    PoC状态
    2017-11-02 09:36:21
    赞同 展开评论 打赏
  • Re【漏洞公告】WordPress存储型XSS漏洞
    我的9月份就已经更新到4.8.2了,这个发布的太晚了吧。
    2017-10-29 15:15:08
    赞同 展开评论 打赏
  • Re【漏洞公告】WordPress存储型XSS漏洞
    2017-10-25 09:39:48
    赞同 展开评论 打赏
  • Re【漏洞公告】WordPress储存型XSS漏洞
    2017-10-23 09:40:26
    赞同 展开评论 打赏
  • 阿里云论坛版主,QQ 1978638808
    现在博客基本上都关闭了留言功能。
    具体原因,你懂的。
    2017-10-20 14:35:34
    赞同 展开评论 打赏
滑动查看更多
问答排行榜
最热
最新

相关电子书

更多
代码未写,漏洞已出 立即下载
如何产生威胁情报-高级恶意攻击案例分析 立即下载
低代码开发师(初级)实战教程 立即下载