Опасная XSS-уязвимость обнаружена в W3 Total Cache

WP Media опубликовали сведения об опасной XSS-уязвимости, обнаруженной в плагине W3 Total Cache. Плагин в данный момент активен более чем на миллионе сайтов WordPress.

Данная уязвимость найдена в форме поддержки плагина, которая встроена в панель администратора, что следует из описания WP Media:

«На эту страницу можно выйти с помощью задания URL с параметрами, где параметры представляют собой поля формы.

Параметры никак не очищаются при публикации на странице, что и ведет к XSS-уязвимости.

Пример XSS URL: https://example.com/wp-admin/admin.php?page=w3tc_support&request_type=bug_report&request_id=PAYLOAD

Далее уже PAYLOAD заполняется вредоносным кодом»

Согласно Zerial, чтобы эксплуатировать эту уязвимость, администратор или пользователь с достаточными полномочиями должен иметь активную сессию.

Поскольку угроза пока еще остается открытой, а готовый патч отсутствует, показатель DREAD у данной уязвимости выставлен в High Risk (высокий риск). Уязвимость легко эксплуатируется и может позволить злоумышленнику внедрить код в панель администратора, получить доступ к токенам безопасности, cookie и приватным данным.

W3 Total Cache был обновлен шесть месяцев назад – в обновлении были закрыты две уязвимости безопасности. Последнее крупное обновление плагина, 0.9.4, было выпущено еще в 2014 году. Многие пользователи даже подумали о том, что плагин заброшен своими создателями, однако это оказалось не так. Мы связались с Фредериком Таунсом, автором плагина, и он сообщил, что его команда работает над тем, чтобы официально выйти из бета-версии и выпустить релиз 1.0. С тех пор никаких крупных обновлений выпущено не было, а блог компании Таунса хранит молчание.

В данный момент единственные варианты, доступные пользователям – это отключение плагина или использование аккаунта с авторскими или редакторскими полномочиями вместо администраторского аккаунта. Автор плагина уже был уведомлен о данной уязвимости, однако пока на WordPress.org никаких обновлений безопасности не было.

P.S. Проблема была исправлена, однако патч пока доступен только на странице GitHub по ссылке.

Источник: wptavern.com