Kwetsbaarheid in Download Manager Plugin

Cross-Site Scripting (XSS)-kwetsbaarheid

Eind mei meldde een beveiligingsonderzoeker een Cross-Site Scripting (XSS)-kwetsbaarheid in Download Manager, een WordPress plugin die op meer dan 100.000 sites is geïnstalleerd.

Wie de Wordfence Firewall van de Wordfence plugin actief heeft staan loopt geen risico: die beschermt tegen Cross-Site Scripting-kwetsbaarheden.

Hoewel Wordfence bescherming biedt tegen dit beveiligingslek, adviseer ik de plugin Download Manager bij te werken naar de nieuwste gepatchte versie, versie 3.2.43 op het moment van publicatie van dit bericht.

Plugin Download Manager

Download Manager is een plugin voor bestands- en documentbeheer om het downloaden van bestanden te helpen beheren en controleren met verschillende besturingselementen voor het downloaden van bestanden om ongeautoriseerde toegang tot bestanden te beperken. De plugin biedt ook de mogelijkheid om digitale producten te verkopen, inclusief betaalfunctionaliteit om een ​​bestelling te voltooien. Een kenmerk van de plugin is de mogelijkheid om een ​​shortcode te gebruiken om bestanden in een pagina of bericht in te sluiten.

Ernst van de kwetsbaarheid

De shortcode functionaliteit bleek kwetsbaar te zijn voor Cross-Site Scripting.

Gevorderde aanvallers zouden deze kwetsbaarheid gebruiken om beheerderstoegang te krijgen of een achterdeur toe te voegen en de website over te nemen. Als de aanvaller deze toegang krijgt, zou hij toegang hebben tot dezelfde informatie waartoe de beheerder toegang zou hebben, inclusief gebruikersgegevens en klantinformatie.

Bij de Download Manager lopen zowel klantinformatie als toegang tot digitale producten gevaar. Als een aanvaller een beheerder zou kunnen verleiden om op een link te klikken die is gemaakt om sessiecookies naar de aanvaller te sturen, een kwaadaardig beheerdersaccount toe te voegen of een achterdeur op de website te implementeren, dan zou de aanvaller ook onbeperkte rechten hebben in het WordPress dashboard, waardoor betaalmiddelen kunnen worden aangepast en zelfs nepproducten aan de website kunnen worden toegevoegd.

Bekijk MissHack op Opiness

Heb je een vraag?

"*" geeft vereiste velden aan

Naam*
Vermeld je telefoonnummer in het bericht als je telefonisch contact op prijs stelt.
Dit veld is bedoeld voor validatiedoeleinden en moet niet worden gewijzigd.

Blog

> 1.000.000 sites getroffen door OptinMonster kwetsbaarheden

Over misshack

misshack petra blankwaard

misshack is een initiatief van Petra Blankwaard van Indigo Webstudio

Bedrijfsinformatie

Duinstraat 23 / Unit 1-6
2584 AV Den Haag
KvK: 23090942
ING Bank NL24 INGB 0007 3487 93
BTW-nummer NL175103446B01
linkedin facebook pinterest youtube rss twitter instagram facebook-blank rss-blank linkedin-blank pinterest youtube twitter instagram