Một lỗ hổng bảo mật XSS khá nghiêm trọng của plugin Live Chat với Facebook Messenger đã được phát hiện gần đây.
Cảnh báo về lỗ hổng bảo mật XSS trên plugin WordPress FB Messenger Live Chat. Một lỗ hổng bảo mật XSS khá nghiêm trọng của plugin Live Chat với Facebook Messenger đã được phát hiện gần đây. Lỗ hổng này cho phép tin tặc thay đổi cài đặt plugin mà không cần phải đăng nhập vào wp-admin.
Lỗi Facebook Livechat XSS
Lỗ hổng được khai thác thông qua chức năng update_zb_fbc_code ()lỗ hổng này cho phép tin tặc truy cập cài đặt thông qua chức năng AJAX của WordPress mà không cần phải đăng nhập.
add_action("wp_ajax_update_zb_fbc_code", "update_zb_fbc_code");
add_action("wp_ajax_nopriv_update_zb_fbc_code", "update_zb_fbc_code");
Chức năng này chưa được lọc đủ để ngăn tấn công CSRF trước khi cho phép thay đổi cài đặt:
function update_zb_fbc_code(){
header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Credentials: true');
$domain = addslashes($_REQUEST['domain']);
$public_key = addslashes($_REQUEST['access']);
$id = intval($_REQUEST['customer']);
$zbEmail = addslashes($_REQUEST['email']);
if(!isset($domain) || empty($domain)){
header("Location: ".admin_url()."admin.php?page=zb_fbc");
}else{
update_option( 'ztb_domainid', $domain );
update_option( 'ztb_access_key', $public_key );
update_option( 'ztb_id', $id );
update_option( 'ztb_email', $zbEmail );
update_option( 'ztb_status_disconnect', 2 );
wp_send_json( array(
'error' => false,
'message' => 'Update Zotabox embedded code successful !'
)
);
}
}
Như chúng ta có thể dễ dàng nhận thấy, hàm trên chỉ sử dụng hàm addlash () để lọc dữ liệu, và điều đó là không đủ để ngăn chặn các cuộc tấn công.
Ước tính có khoảng 30000 người đã tải xuống và cài đặt plugin này. Và hiện tại, theo ghi nhận của HOSTVN trong thời gian vừa qua, rất nhiều khách hàng sử dụng plugin này đã bị hacker tấn công và chèn script chuyển hướng, điều này dẫn đến khi truy cập vào website sẽ bị chuyển hướng sang website khác. .
HOSTVN Chúng tôi khuyến nghị khách hàng cập nhật plugin lên phiên bản mới nhất hoặc xóa plugin khỏi trang web của họ để tránh nguy cơ bị lợi dụng.
