→ برگشت به فید آسیب‌پذیری‌ها
CVE-2012-20004 · knews
تزریق اسکریپت بازتابی (Reflected XSS) در افزونه K-news
افزونه K-news وردپرس در نسخه‌های ۱.۱.۱ و پایین‌تر دارای آسیب‌پذیری تزریق اسکریپت بازتابی است که مهاجم بدون احراز هویت می‌تواند از طریق پارامتر ff ورودی پاک‌سازی‌نشده ارسال کند تا در برچسب‌های option بازتاب داده شود. این نقص می‌تواند به اجرای اسکریپت در مرورگر قربانی و سرقت کوکی نشست منجر شود. وصله رسمی هنوز منتشر نشده است؛ از ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید، افزونه را موقتاً غیرفعال کنید و در صورت امکان دسترسی به آن را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته knews را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- http://web.archive.org/web/20210213220043/https://www.securityfocus.com/bid/54330/info ↗
- https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/wordpress/wp-knews-xss.yaml ↗
- https://wordpress.org/plugins/knews/ ↗
- https://www.acunetix.com/vulnerabilities/web/wordpress-plugin-knews-multilingual-newsletters-ff-parameter-cross-site-scripting-1-1-0 ↗
- https://www.exploit-db.com/exploits/37484 ↗
- https://www.vulncheck.com/advisories/k-news-wordpress-plugin-1.1.1-reflected-xss-via-fontpicker-index-php-ff-parameter ↗