Ailagbara (CVE-2021-39341) ti ṣe idanimọ ni afikun WordPress OptinMonster, eyiti o ni diẹ sii ju awọn fifi sori ẹrọ ti nṣiṣe lọwọ miliọnu kan ati pe o lo lati ṣafihan awọn iwifunni agbejade ati awọn ipese, gbigba ọ laaye lati gbe koodu JavaScript rẹ sori aaye kan. lilo awọn pàtó kan fi-lori. Ailagbara naa wa titi ni idasilẹ 2.6.5. Lati dènà iwọle nipasẹ awọn bọtini ti o gba lẹhin fifi imudojuiwọn sori ẹrọ, awọn olupilẹṣẹ OptinMonster fagilee gbogbo awọn bọtini iwọle API ti a ṣẹda tẹlẹ ati fikun awọn ihamọ lori lilo awọn bọtini aaye Wodupiresi lati yipada awọn ipolongo OptinMonster.
Iṣoro naa jẹ nitori wiwa ti REST-API /wp-json/omapp/v1/support, eyiti o le wọle laisi ijẹrisi - ibeere naa ni a ṣe laisi awọn sọwedowo afikun ti akọsori Referer ni okun naa ninu “https://wp. .app.optinmonster.test” ati nigba ti o ba ṣeto iru ibeere HTTP si “Awọn aṣayan” (ti o bori nipasẹ akọsori HTTP “X-HTTP-Ọna-padanu”). Lara awọn data ti o pada nigbati o n wọle si REST-API ni ibeere, bọtini iwọle wa ti o fun ọ laaye lati fi awọn ibeere ranṣẹ si eyikeyi awọn olutọju REST-API.
При помощи полученного ключа атакующий мог внести изменения в любые всплывающие блоки, показываемые при помощи OptinMonster, в том числе организовать выполнение своего JavaScript-кода. Получив возможность выполнить свой JavaScript-код в контексте сайта атакующий мог перенаправить пользователей на свой сайт или организовать подстановку привилегированной учётной записи в web-интерфейс при выполнении подставленного JavaScript-кода администратором сайта. Имея доступ в web-интерфейс атакующий мог добиться выполнения своего PHP-кода на olupin.
orisun: opennet.ru
