Phát hiện lỗ hổng XSS trong plugin Complianz WordPress GDPR/CCPA Cookie Consent được cài đặt trên hơn 800.000 website
Một plugin phổ biến dành cho tuân thủ quy định về quyền riêng tư với hơn 800.000 lượt cài đặt gần đây đã vá một lỗ hổng XSS lưu trữ có thể cho phép kẻ tấn công tải lên mã độc hại để tấn công người truy cập trang web.
Giới thiệu về plugin Complianz | GDPR/CCPA Cookie Consent
Plugin Complianz cho WordPress là một công cụ mạnh mẽ giúp chủ sở hữu trang web tuân thủ các quy định về quyền riêng tư như Nghị định về Bảo vệ Dữ liệu Chung (GDPR) và Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA).
Lỗ hổng XSS lưu trữ trong plugin Complianz
Plugin Complianz cho WordPress đã được phát hiện có một lỗ hổng XSS lưu trữ, một loại lỗ hổng cho phép người dùng tải lên mã độc hại trực tiếp lên máy chủ trang web. Khác với XSS phản ánh cần người dùng trang web nhấp vào một liên kết, XSS lưu trữ liên quan đến việc lưu trữ và phục vụ một mã độc hại từ máy chủ trang web mục tiêu.
Nguyên nhân của lỗ hổng
Lỗ hổng nằm trong cài đặt quản trị Complianz, thiếu hai chức năng bảo mật quan trọng: Kiểm tra dữ liệu đầu vào và Loại bỏ dữ liệu đầu ra.
Kiểm tra dữ liệu đầu vào
Plugin thiếu việc kiểm tra dữ liệu đầu vào và loại bỏ dữ liệu đầu ra đúng cách. Kiểm tra dữ liệu đầu vào là quy trình tiêu chuẩn để kiểm tra dữ liệu được nhập vào trang web, như vào một trường biểu mẫu, để đảm bảo rằng dữ liệu được nhập là điều được mong đợi, chẳng hạn như một trường văn bản thay vì một tải lên mã độc hại.
Loại bỏ dữ liệu đầu ra
Plugin thiếu quá trình Loại bỏ Dữ liệu Đầu ra, một quy trình bảo mật loại bỏ dữ liệu không mong muốn trước khi nó được hiển thị cho người dùng.
Mức độ nghiêm trọng của lỗ hổng
Lỗ hổng yêu cầu kẻ tấn công có quyền hạn quản trị và cao hơn để thực hiện cuộc tấn công. Điều này có thể là lý do tại sao lỗ hổng này được đánh giá 4.4 trên 10, với mười đại diện cho mức độ lỗ hổng cao nhất. Lỗ hổng chỉ ảnh hưởng đến loại cài đặt cụ thể.
Cập nhật lên phiên bản mới nhất
Lỗ hổng ảnh hưởng đến các phiên bản Complianz bằng hoặc thấp hơn phiên bản 6.5.5. Người dùng được khuyến khích cập nhật lên phiên bản 6.5.6 hoặc cao hơn.
