Cross-Site Scripting (XSS)-kwetsbaarheid
Eind mei meldde een beveiligingsonderzoeker een Cross-Site Scripting (XSS)-kwetsbaarheid in Download Manager, een WordPress plugin die op meer dan 100.000 sites is geïnstalleerd.
Wie de Wordfence Firewall van de Wordfence plugin actief heeft staan loopt geen risico: die beschermt tegen Cross-Site Scripting-kwetsbaarheden.
Hoewel Wordfence bescherming biedt tegen dit beveiligingslek, adviseer ik de plugin Download Manager bij te werken naar de nieuwste gepatchte versie, versie 3.2.43 op het moment van publicatie van dit bericht.
Plugin Download Manager
Download Manager is een plugin voor bestands- en documentbeheer om het downloaden van bestanden te helpen beheren en controleren met verschillende besturingselementen voor het downloaden van bestanden om ongeautoriseerde toegang tot bestanden te beperken. De plugin biedt ook de mogelijkheid om digitale producten te verkopen, inclusief betaalfunctionaliteit om een bestelling te voltooien. Een kenmerk van de plugin is de mogelijkheid om een shortcode te gebruiken om bestanden in een pagina of bericht in te sluiten.
Ernst van de kwetsbaarheid
De shortcode functionaliteit bleek kwetsbaar te zijn voor Cross-Site Scripting.
Gevorderde aanvallers zouden deze kwetsbaarheid gebruiken om beheerderstoegang te krijgen of een achterdeur toe te voegen en de website over te nemen. Als de aanvaller deze toegang krijgt, zou hij toegang hebben tot dezelfde informatie waartoe de beheerder toegang zou hebben, inclusief gebruikersgegevens en klantinformatie.
Bij de Download Manager lopen zowel klantinformatie als toegang tot digitale producten gevaar. Als een aanvaller een beheerder zou kunnen verleiden om op een link te klikken die is gemaakt om sessiecookies naar de aanvaller te sturen, een kwaadaardig beheerdersaccount toe te voegen of een achterdeur op de website te implementeren, dan zou de aanvaller ook onbeperkte rechten hebben in het WordPress dashboard, waardoor betaalmiddelen kunnen worden aangepast en zelfs nepproducten aan de website kunnen worden toegevoegd.