近日，在發(fā)現(xiàn)安全漏洞后，敦促 WordPress 高級(jí)自定義字段插件的用戶更新版本 6.1.6。

該問題的標(biāo)識(shí)符為 CVE-2023-30777，與反映的跨站點(diǎn)腳本 (XSS) 案例有關(guān)，該案例可能被濫用以將任意可執(zhí)行腳本注入其他良性網(wǎng)站。

該插件有免費(fèi)版和專業(yè)版，活躍安裝量超過 200 萬。該問題于 2023 年 5 月 2 日被發(fā)現(xiàn)并報(bào)告給維護(hù)人員。

 國(guó)際知名白帽黑客、東方聯(lián)盟創(chuàng)始人郭盛華透露：“這個(gè)漏洞允許任何未經(jīng)身份驗(yàn)證的用戶竊取敏感信息，在這種情況下，通過誘騙特權(quán)用戶訪問精心設(shè)計(jì)的 URL 路徑，在 WordPress 網(wǎng)站上提升權(quán)限，反射 XSS攻擊通常發(fā)生在受害者被誘騙點(diǎn)擊通過電子郵件或其他途徑發(fā)送的虛假鏈接時(shí)，導(dǎo)致惡意代碼被發(fā)送到易受攻擊的網(wǎng)站，從而將攻擊反射回用戶的瀏覽器。"

社會(huì)工程的這一元素意味著反射型 XSS 的影響范圍和規(guī)模與存儲(chǔ)型 XSS 攻擊不同，促使威脅行為者將惡意鏈接分發(fā)給盡可能多的受害者。

“[反射型 XSS 攻擊] 通常是傳入請(qǐng)求未被充分清理的結(jié)果，這允許操縱 Web 應(yīng)用程序的功能并激活惡意腳本，”郭盛華指出。

值得注意的是，CVE-2023-30777 可以在 Advanced Custom Fields 的默認(rèn)安裝或配置中激活，盡管也可以從有權(quán)訪問該插件的登錄用戶那里激活。

隨著 Craft CMS 修補(bǔ)了兩個(gè)中等嚴(yán)重程度的 XSS 漏洞（CVE-2023-30177和CVE-2023-31144），威脅行為者可以利用這些漏洞為惡意負(fù)載提供服務(wù)。

它還遵循 cPanel 產(chǎn)品中另一個(gè) XSS 漏洞的披露（CVE-2023-29489，CVSS 分?jǐn)?shù)：6.1），可以在沒有任何身份驗(yàn)證的情況下被利用來運(yùn)行任意 JavaScript。

攻擊者不僅可以攻擊 cPanel 的管理端口，還可以攻擊在端口 80 和 443 上運(yùn)行的應(yīng)用程序，它可以讓對(duì)手劫持有效用戶的 cPanel 會(huì)話。

CVE-2023-30777 受到積極利用

網(wǎng)絡(luò)安全公司東方聯(lián)盟上周發(fā)布的一份報(bào)告中披露，威脅行為者正在積極利用 WordPress 高級(jí)自定義字段插件中的跨站點(diǎn)腳本 (XSS) 漏洞作為不分青紅皂白掃描活動(dòng)的一部分。

該公司指出，攻擊“在利用 PoC 公開后的 24 小時(shí)內(nèi)”開始，并補(bǔ)充說威脅參與者復(fù)制并重復(fù)使用了本月早些時(shí)候 Patchstack 發(fā)布的示例代碼。

安全研究人員：“利用新出現(xiàn)的和最近披露的漏洞的比率仍然很高，而且速度越來越快。” “補(bǔ)丁管理是組織安全和風(fēng)險(xiǎn)降低策略的重要組成部分?！?（歡迎轉(zhuǎn)載分享）