আমি যখন প্লাগইনটি অডিট করছিলাম তখন WPForms প্লাগইন সংস্করণ 1.5.8.2 এবং নীচের প্রমাণীকৃত সঞ্চিত XSS-এর জন্য দুর্বল বলে পাওয়া গেছে। উন্নত ডেটা স্যানিটাইজেশন সহ WPForms সংস্করণ 1.5.9 মার্চ 5, 2020 এ প্রকাশিত হয়েছিল।
CVE আইডি: CVE-2020-10385
সারাংশ
WPForms হল 3 মিলিয়নেরও বেশি সক্রিয় ইনস্টলেশন সহ একটি জনপ্রিয় ওয়ার্ডপ্রেস ফর্ম প্লাগইন। এটি প্রমাণীকৃত ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস) দুর্বলতার জন্য দুর্বল বলে পাওয়া গেছে। XSS হল এক ধরনের দুর্বলতা যা আক্রমণকারীরা বিভিন্ন ক্ষতিকারক ক্রিয়া সম্পাদন করতে ব্যবহার করতে পারে যেমন শিকারের সেশন কুকিজ বা লগইন শংসাপত্র চুরি করা, শিকারের পক্ষে নির্বিচারে কাজ করা, তাদের কীস্ট্রোকগুলি লগ করা এবং আরও অনেক কিছু।
দুর্বলতা
ফর্মের বিবরণ এবং ক্ষেত্রের বিবরণ WPForms প্লাগইনের ফর্ম বিল্ডার মডিউলের ক্ষেত্রগুলিকে সংরক্ষিত XSS-এর জন্য ঝুঁকিপূর্ণ বলে মনে করা হয়েছে, কারণ তারা সঠিকভাবে প্রদত্ত ইনপুট ব্যবহারকারীকে স্যানিটাইজ করেনি৷
যদিও তারা একটি প্রমাণীকৃত XSS দুর্বলতা হিসাবে উচ্চ নিরাপত্তার হুমকি সৃষ্টি করে না, আমরা নিশ্চিত করতে সক্ষম হয়েছি যে আক্রমণকারীর দ্বারা একটি ওয়ার্ডপ্রেস মাল্টিসাইট ইনস্টলেশনে দূষিত ক্রিয়া সম্পাদন করার জন্য আক্রমণকারীর দ্বারা একটি সুপার অ্যাডমিনের কুকি পাঠানোর জন্য বা পুনঃনির্দেশিত করার জন্য এইগুলি সম্ভাব্যভাবে ব্যবহার করা যেতে পারে। অন্য ডোমেনে সুপার অ্যাডমিন, উদাহরণস্বরূপ, একটি ফিশিং পৃষ্ঠা ডিজাইন করা হয়েছে যাতে দেখায় যে তারা লগ আউট হয়ে গেছে এবং আবার লগ ইন করতে হবে, এইভাবে তাদের শংসাপত্রের সাথে আপস করে৷
আমরা আরও খুঁজে পেয়েছি যে ফর্ম নির্মাতার "প্রিভিউ" ফাংশনটি প্রতিফলিত XSS-এর জন্যও দুর্বল ছিল৷
টাইমলাইন
18 ফেব্রুয়ারী, 2020 তারিখে WPForms টিমের কাছে দুর্বলতা রিপোর্ট করা হয়েছে।
WPForms সংস্করণ 1.5.9 যাতে দুর্বলতার সমাধান রয়েছে তা 5 মার্চ, 2020-এ প্রকাশিত হয়েছিল।
প্রস্তাবিত
প্লাগইনটিকে সর্বশেষ সংস্করণে আপডেট করার জন্য এটি অত্যন্ত সুপারিশ করা হয়। সর্বোত্তম নিরাপত্তা অনুশীলনের জন্য, আপনি নীচের নির্দেশিকাগুলি অনুসরণ করতে পারেন:
- ওয়ার্ডপ্রেস নিরাপত্তা নির্দেশিকা
- ওয়ার্ডপ্রেস হ্যাক এবং ম্যালওয়্যার অপসারণ
রেফারেন্স
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-10385
- https://wpvulndb.com/vulnerabilities/10114
- WPForms চেঞ্জলগ
