Il team di sicurezza di Wordfence ha scoperto una vulnerabilità di tipo Reflected Cross-Site Scripting (XSS) senza patch, durante le loro indagini su una serie di vulnerabilità del controllo degli accessi recentemente segnalate in KingComposer, un plug-in di WordPress installato su oltre 100.000 siti.
Una vulnerabilità XSS di tipo reflected si basa generalmente su un utente malintenzionato che induce la vittima a cliccare su un link dannoso che reindirizza la vittima al sito vulnerabile insieme a un payload dannoso. I modi per far ciò sono diversi, ma è comune prima collegarsi a un sito intermedio controllato dall’attore malintenzionato, che invia così una richiesta inclusiva di un payload dannoso al sito vulnerabile per conto della vittima.
Come per gli attacchi stored XSS, il payload dannoso verrà eseguito nel browser della vittima. Tuttavia, con l’XSS di tipo reflected, il sito vulnerabile emetterebbe immediatamente il payload JavaScript dannoso, che verrebbe eseguito una sola volta nel browser della vittima invece di essere archiviato nel database per successive esecuzioni.
Questo sistema può essere usato in molteplici tipologie di attacchi e, affinché gli attacchi XSS di tipo reflected possano sfruttare correttamente un utente, l’attore malintenzionato deve indurre l’utente a eseguire un’azione. Per questo motivo, Wordfence consiglia vivamente di prestare elevata attenzione quando si fa clic su link o allegati in commenti, e-mail e altre fonti di comunicazione a meno che non si sia sicuri della loro integrità e legittimità.
Wordfence ha contattato il team dei plug-in di WordPress ed è stata rilasciata una patch.
https://www.wordfence.com/blog/2020/07/xss-flaw-impacting-100000-sites-patched-in-kingcomposer/
