Ein BIPR Compliance-Plugin für Wordpress hat sich herausgestellt, verletzlich zu sein, Aussetzen Website-Besitzer zu kritischen Sicherheitsfragen.
BIPR Plätzchen Zustimmung Plugin Vulnerable
Die BIPR Cookie-Zustimmung Plugin durch den Cookie Law Info Entwickler hat durch WebToffee angeboten, eine Plattform, die Angebote verschiedene Erweiterungen für Wordpress und WooCommerce Websites. Wie sichtbar durch den Namen des Plugins, ist gemeint, mit der EU-BIPR Recht zu compliancy. Das Plugin wurde entwickelt, um speziell Zustimmung von Website-Besuchern für Cookies zu erhalten. Es hilft auch, eine Privatsphäre und Cookies Policy-Seite zu erstellen und Compliance-Banner ermöglicht.
Das Plugin verfügt über mehr als 700,000 aktive Installationen, nach Zahlen in der Word Bibliothek. Dies bedeutet, dass Hunderttausende von Websites sind in Gefahr.
Die Sicherheitslücke im Plugin wurde von NinTechNet Forscher Jerome Bruandet entdeckt, und es wirkt sich BIPR Plätzchen Zustimmung Version 1.8.2 und vorherige.
Der Fehler wird als kritisch definiert, und wird von verpassten Fähigkeiten Kontrollen verursacht. Wenn ausgebeutet, es kann zu authentifizierten führen, XSS-Angriffe und Privilegieneskalation Angriffe.
Was verursacht die Verwundbarkeit? Ein verwundbar AJAX-Endpunkt. Nach Wordfence Forscher:
Da der AJAX-Endpunkt nur gedacht war zugänglich für Administratoren, die Anfälligkeit erlaubt Teilnehmer-Level Benutzer eine Reihe von Aktionen auszuführen, die die Website-Sicherheit beeinträchtigen können. Es gibt 3 Maßnahmen, die die Anfälligkeit für Abonnenten aussetzt: get_policy_pageid, autosave_contant_data, und save_contentdata.
get_policy_pageid kehrt die Post-ID der Seite Cookie-Richtlinie konfiguriert Plugin, und ist nicht viel von einem Risiko für Abonnenten. autosave_contant_data definiert den Standard-Inhalte, die in der Cookie-Politik Vorschauseite erscheint. Der gespeicherte HTML-Inhalt ist ungefiltert und Cross-Site-Scripting enthält (XSS) Nutzlasten, Die Forscher erklärten,.
save_contentdata wird erstellt oder aktualisiert die entsprechenden Posten als die Seite Cookie-Richtlinien BIPR verwendet, dass Website-Besucher, ob sehen zu entscheiden, Cookies von der Website zu akzeptieren oder nicht.
Die Aktion nimmt einen page_id Parameter zusammen mit einem content_data Parameter, der den Inhalt enthält Post. Der page_id Parameter ermöglicht es dem Angreifer den Posten Inhalt von jedem Post zu aktualisieren. Zusätzlich, es wird die Post-Status gesetzt zu entwerfen, so Angreifer diese Sicherheitsanfälligkeit für Verunstaltung zu nutzen sucht, wird nicht möglich sein, den normalen Endverbraucher der Website der Post Inhalt anzeigen. Es könnte möglicherweise zu entfernen Beiträge und Seiten aus dem öffentlich zugänglichen Teil der Website verwendet werden, obwohl.
Die gute Nachricht ist, dass die Schwachstelle in Version wird behoben 1.8.3. Website-Besitzer des Plugin verwenden, sollte sofort auf die neueste Version aktualisieren verfügbaren Exploits zu vermeiden.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: