জনপ্রিয় ওয়ার্ডপ্রেস টেস্টিমোনিয়ালস প্লাগইন, স্ট্রอง টেস্টিমোনিয়ালস টেস্ট করার সময়, আমি প্লাগইনে একাধিক স্টোয়ার্ড XSS দুর্বলতা আবিষ্কার করলাম। স্ট্রอง টেস্টিমোনিয়ালস ভার্সন ২.৪০.০ এবং তার নিচের ভার্সন ব্যবহারকারী সকল ওয়ার্ডপ্রেস ওয়েবসাইট প্রভাবিত।
CVE ID: CVE-2020-8549
CWE ID: CWE-79
সারসংক্ষেপ
স্ট্রอง টেস্টিমোনিয়ালস একটি জনপ্রিয় এবং সহজে কাস্টমাইজযোগ্য ওয়ার্ডপ্রেস টেস্টিমোনিয়াল প্লাগইন যার ৯০,০০০+ সক্রিয় ইনস্টলেশন আছে। প্লাগইনে পাওয়া স্টোয়ার্ড XSS দুর্বলতা আক্রমণকারীদের দ্বারা শোষিত হতে পারে ম্যালিশিয়াস অ্যাকশন সম্পাদন করতে যেমন ভিক্টিমের সেশন কুকি বা লগইন ক্রেডেনশিয়াল চুরি, ভিক্টিমের পক্ষে আর্বিট্রারি অ্যাকশন সম্পাদন করা যেমন লগইন করা, তাদের কীস্ট্রোক্স আনার, আপনার ওয়েবসাইটকে জাপানি কিওয়ার্ড হ্যাক দিয়ে সংক্রমিত করা, এবং আরও অনেক কিছু।
দুর্বলতা
ক্লায়েন্ট ডিটেইলস সেকশনে যেটি দেখা যায় একটি টেস্টিমোনিয়াল অ্যাড বা এডিট করার সময়, custom[client_name] এবং custom[company_name] প্যারামিটার দুটি স্টোয়ার্ড ক্রস-সাইট স্ক্রিপ্টিং-এর জন্য দুর্বল পাওয়া গেল।
যখন টেস্টিমোনিয়ালটি সাইটে একটি পেজে যোগ করা হয়, দুটি উপরে উল্লিখিত দুর্বল প্যারামিটারে পাস করা XSS পেলোড এক্সিকিউট হয়।
custom[client_name]-এ পেলোডটি All Testimonials (/wp-admin/edit.php?post_type=wpm-testimonial) পেজেও এক্সিকিউট হয়।
টাইমলাইন
দুর্বলতা স্ট্রอง টেস্টিমোনিয়ালস টিমকে রিপোর্ট করা হলো জানুয়ারি ২৩, ২০২০।
স্ট্রอง টেস্টিমোনিয়ালস ভার্সন ২.৪০.১ যেটিতে দুর্বলতা ফিক্স রয়েছে, জানুয়ারি ২৫, ২০২০-এ রিলিজ করা হলো।
সুপারিশ
প্লাগইনটি লেটেস্ট ভার্সনে আপডেট করা অত্যন্ত প্রস্তাবিত।
রেফারেন্স
- https://github.com/MachoThemes/strong-testimonials/blob/master/changelog.txt
- https://wpvulndb.com/vulnerabilities/10056
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8549
সেরা সিকিউরিটি প্র্যাকটিসের জন্য, আপনি নিচের গাইডগুলো অনুসরণ করতে পারেন:
- ওয়ার্ডপ্রেস সিকিউরিটি গাইড
- ওয়ার্ডপ্রেস হ্যাক অ্যান্ড ম্যালওয়্যার রিমুভাল
