जावास्क्रिप्ट इंजेक्शन भेद्यता WordPress- ऑप्टिनमॉन्स्टर प्लगइन

В WordPressOptinMonster ऐड-ऑन, जिसके दस लाख से अधिक सक्रिय इंस्टॉलेशन हैं और जिसका उपयोग पॉप-अप नोटिफिकेशन और ऑफ़र प्रदर्शित करने के लिए किया जाता है, में एक सुरक्षा खामी (CVE-2021-39341) पाई गई थी, जिसके कारण ऐड-ऑन का उपयोग करने वाली वेबसाइट पर कस्टम जावास्क्रिप्ट कोड एम्बेड किया जा सकता था। इस खामी को रिलीज़ 2.6.5 में ठीक कर दिया गया था। अपडेट इंस्टॉल करने के बाद हैक की गई कुंजियों के माध्यम से एक्सेस को ब्लॉक करने के लिए, OptinMonster डेवलपर्स ने पहले से बनाई गई सभी API एक्सेस कुंजियों को रद्द कर दिया और कुंजी उपयोग पर प्रतिबंध लगा दिए। WordPress- ऑप्टिनमॉन्स्टर कैंपेन में बदलाव करने के लिए साइटें।

समस्या REST-API /wp-json/omapp/v1/support की उपस्थिति के कारण हुई थी, जिसे प्रमाणीकरण के बिना एक्सेस किया जा सकता था - यदि रेफरर हेडर में स्ट्रिंग "https://wp" थी तो अनुरोध अतिरिक्त जांच के बिना निष्पादित किया गया था। .app.optinmonster.test” और HTTP अनुरोध प्रकार को "विकल्प" पर सेट करते समय (HTTP हेडर "X-HTTP-Method-Override" द्वारा ओवरराइड)। प्रश्न में REST-API तक पहुँचने पर लौटाए गए डेटा में, एक एक्सेस कुंजी थी जो आपको किसी भी REST-API हैंडलर को अनुरोध भेजने की अनुमति देती है।

प्राप्त कुंजी का उपयोग करके, हमलावर ऑप्टिनमॉन्स्टर द्वारा प्रदर्शित किसी भी पॉप-अप ब्लॉक को संशोधित कर सकता है, जिसमें अपना खुद का जावास्क्रिप्ट कोड चलाना भी शामिल है। साइट के संदर्भ में अपना जावास्क्रिप्ट कोड चलाकर, हमलावर उपयोगकर्ताओं को अपनी साइट पर रीडायरेक्ट कर सकता है या साइट एडमिनिस्ट्रेटर द्वारा बदले गए जावास्क्रिप्ट कोड को चलाने पर वेब इंटरफ़ेस में किसी विशेषाधिकार प्राप्त खाते को प्रतिस्थापित कर सकता है। वेब इंटरफ़ेस तक पहुंच प्राप्त करके, हमलावर अपना खुद का PHP कोड भी चला सकता है। सर्वर.

स्रोत: opennet.ru