Một cảnh báo nghiên cứu đã cảnh báo về một lỗ hổng XSS phát hiện trong plugin Beaver Builder phổ biến của WordPress, có thể dẫn đến việc bị tấn công XSS.
Giới Thiệu
Beaver Builder là một ứng dụng trình xây dựng trang web mạnh mẽ và phổ biến cho nền tảng WordPress. Với giao diện kéo và thả dễ sử dụng, Beaver Builder cho phép người dùng tạo ra các trang web chuyên nghiệp mà không cần kiến thức về lập trình.
Beaver Builder được sử dụng rộng rãi cho các loại dự án trang web, từ các trang web cá nhân và blog đến các trang web doanh nghiệp, cửa hàng trực tuyến và trang web dự án. Với tính linh hoạt và dễ sử dụng, Beaver Builder là công cụ lý tưởng cho người dùng muốn tạo ra một trang web chuyên nghiệp mà không cần kiến thức kỹ thuật sâu.
Lỗ Hổng XSS Stored
Các nhà nghiên cứu bảo mật tại Wordfence đã phát hiện một lỗ hổng XSS ảnh hưởng đến plugin trình xây dựng trang web này. Lỗ hổng XSS thường được tìm thấy trong một phần của chủ đề hoặc plugin mà cho phép đầu vào của người dùng. Các lỗ hổng này phát sinh khi không có sự lọc đủ đối với dữ liệu đầu vào (một quá trình được gọi là vệ sinh đầu vào). Một vấn đề khác có thể dẫn đến XSS là thiếu thoát ra đủ, là biện pháp bảo mật trên đầu ra của một plugin nhằm ngăn chặn các kịch bản có hại từ chuyển qua trình duyệt web.
Mô Tả Lỗ Hổng
Wordfence đã mô tả lỗ hổng như sau:
“Plugin Beaver Builder – Trình Xây Dựng Trang Web cho WordPress có lỗ hổng Stored Cross-Site Scripting thông qua Tiện Ích Nút của plugin trong tất cả các phiên bản cho đến, và bao gồm, 2.8.0.5 do thiếu vệ sinh đầu vào và thoát ra đối với các thuộc tính được cung cấp bởi người dùng. Điều này khiến cho kẻ tấn công đã xác thực, với quyền truy cập cấp người đóng góp và cao hơn, có thể tiêm các kịch bản web tùy ý vào các trang và thực thi mỗi khi người dùng truy cập một trang bị tiêm.”
Đánh Giá và Hành Động Khuyến Nghị
Lỗ hổng này được đánh giá với mức độ đe dọa trung bình, đánh bằng 6.4. Kẻ tấn công cần phải có quyền hạn ít nhất là cấp người đóng góp mới có thể tiến hành cuộc tấn công, điều này làm cho việc kh exploit lỗ hổng này khó hơn.
Hành động khuyến nghị là cập nhật plugin Beaver Builder lên phiên bản mới nhất để khắc phục lỗ hổng. Trước khi triển khai cập nhật, nên thử nghiệm trên một môi trường staging trước để đảm bảo rằng cập nhật không gây xung đột với các plugin hoặc chủ đề khác trên trang web.
Bài viết liên quan