نشرت قاعدة البيانات الوطنية للثغرات الأمنية التابعة للحكومة الأمريكية إشعارًا بوجود ثغرة أمنية تم اكتشافها في المكون الإضافي الرسمي لـ WordPress Gutenberg. لكن وفقًا للشخص الذي وجدها ، لم يدرك WordPress أنها كانت ثغرة أمنية.
ثغرة أمنية في البرمجة النصية عبر المواقع المخزنة (XSS)
XSS هو نوع من الثغرات الأمنية التي تحدث عندما يتمكن شخص ما من تحميل شيء مثل نص برمجي لا يُصرح به عادةً من خلال نموذج أو طريقة أخرى.
ستتحقق معظم النماذج وإدخالات مواقع الويب الأخرى من أن ما تم تحديثه متوقع وتصفية الملفات الخطرة.
مثال على ذلك هو نموذج لتحميل صورة يفشل في منع المهاجم من تحميل نص برمجي ضار.
وفقًا لمشروع Open Web Application Security غير الربحي ، وهي منظمة تركز على تحسين أمان البرامج ، هذا ما يمكن أن يحدث بهجوم XSS ناجح:
“يمكن للمهاجم استخدام XSS لإرسال برنامج نصي ضار إلى مستخدم غير مرتاب.
ليس لدى مستعرض المستخدم النهائي أي وسيلة لمعرفة أنه لا ينبغي الوثوق بالبرنامج النصي وسيقوم بتشغيل البرنامج النصي.
نظرًا لأنه يعتقد أن النص البرمجي من مصدر موثوق ، يمكن للبرنامج النصي الخبيث الوصول إلى أي ملفات تعريف ارتباط أو رموز جلسة أو معلومات حساسة أخرى يخزنها المتصفح ويستخدمها مع هذا الموقع.
يمكن لهذه البرامج النصية إعادة كتابة محتوى صفحة HTML.
نقاط الضعف والتعرض الشائعة – مكافحة التطرف العنيف
تعمل منظمة تسمى CVE كوسيلة لتوثيق نقاط الضعف وإبلاغ النتائج للجمهور.
تقوم المنظمة ، بدعم من وزارة الأمن الداخلي الأمريكية ، بمراجعة نتائج نقاط الضعف ، وفي حالة الموافقة عليها ، ستخصص للثغرة رقمًا لمكافحة التطرف العنيف والذي سيكون بمثابة رقم تعريف لهذه الثغرة الأمنية المحددة.
اكتشاف ثغرة أمنية في جوتنبرج
اكتشف البحث الأمني ما يُعتقد أنه ثغرة أمنية. تم تقديم الاكتشاف إلى CVE ، وتمت الموافقة على الاكتشاف وتخصيص رقم معرف CVE ، مما يجعل الاكتشاف ثغرة أمنية رسمية.
تم تعيين رقم التعريف CVE-2022-33994 لثغرة XSS.
تقرير الثغرات الأمنية الذي تم نشره على موقع مكافحة التطرف العنيف يحتوي على هذا الوصف:
“إضافة Gutenberg تصل إلى 13.7.3 لـ WordPress تسمح لـ XSS بتخزين دور المساهم عبر مستند SVG من وظيفة” إدراج من عنوان URL “.
ملاحظة: لا يتم تشغيل حمولة XSS في سياق مجال مثيل WordPress ؛ ومع ذلك ، تم حظر محاولات مماثلة من قبل المستخدمين ذوي الامتيازات المنخفضة للإشارة إلى مستندات SVG بواسطة بعض المنتجات المماثلة ، وقد يكون لهذا الاختلاف في السلوك صلة أمنية ببعض مسؤولي موقع WordPress.
هذا يعني أن شخصًا ما لديه امتيازات مستوى المساهم يمكن أن يتسبب في إدراج ملف ضار في موقع الويب.
طريقة القيام بذلك هي إدراج الصورة عبر عنوان URL.
في جوتنبرج ، توجد ثلاث طرق لتحميل صورة.
- تحميل
- اختر صورة موجودة من مكتبة وسائط WordPress
- أدخل صورة من URL
هذه الطريقة الأخيرة هي مصدر الثغرة لأنه ، وفقًا للباحث الأمني ، يمكن للمرء تحميل صورة بأي اسم ملف امتداد إلى WordPress عبر عنوان URL ، وهو ما لا تسمح به ميزة التحميل.
هل هي حقا نقطة ضعف؟
أبلغ الباحث عن الضعف في WordPress. لكن وفقًا للشخص الذي اكتشفها ، لم يتعرف WordPress عليها على أنها ثغرة أمنية.
إليكم ما كتبته الباحثة:
“لقد وجدت ثغرة أمنية في Stored Cross Site Scripting في WordPress والتي تم رفضها ووضع علامة عليها باعتبارها إعلامية من قبل فريق WordPress.
اليوم هو اليوم الخامس والأربعون منذ أن أبلغت عن الثغرة الأمنية ومع ذلك لم يتم تصحيح الثغرة الأمنية حتى كتابة هذه السطور … “
لذلك يبدو أن هناك سؤالًا حول ما إذا كان WordPress على حق وأن مؤسسة CVE المدعومة من الحكومة الأمريكية مخطئة (أو العكس) حول ما إذا كانت هذه ثغرة XSS.
يصر الباحث على أن هذه ثغرة أمنية حقيقية ويقدم قبول مكافحة التطرف العنيف للتحقق من صحة هذا الادعاء.
بالإضافة إلى ذلك ، يشير الباحث أو يقترح أن الموقف الذي يسمح فيه المكون الإضافي لـ WordPress Gutenberg بتحميل الصور عبر عنوان URL قد لا يكون ممارسة جيدة ، مشيرًا إلى أن الشركات الأخرى لا تسمح بهذا النوع من التحميل.
“إذا كان الأمر كذلك ، فأخبرني لماذا … … ذهبت شركات مثل Google و Slack إلى حد التحقق من صحة الملفات التي تم تحميلها إلى عنوان URL ورفض الملفات إذا تبين أنها SVG!
… لا يسمح Google و Slack… بتحميل ملفات SVG إلى عنوان URL ، لكن WordPress يفعل ذلك!
ما العمل؟
لم يصدر WordPress تصحيحًا للثغرة الأمنية حيث لا يبدو أنهم يعتقدون أنها ثغرة أمنية أو ثغرة أمنية تسبب مشكلة.
يشير تقرير الثغرات الأمنية الرسمي إلى أن إصدارات جوتنبرج حتى 13.7.3 تحتوي على الثغرة الأمنية.
لكن الإصدار 13.7.3 هو أحدث إصدار.
وفقًا لسجل التغيير الرسمي لـ WordPress Gutenberg الذي يسجل جميع التغييرات السابقة وينشر أيضًا وصفًا للتغييرات المستقبلية ، لم تكن هناك إصلاحات لهذه الثغرة (المزعومة) ، ولم يتم التخطيط لأي منها.
لذا فإن السؤال هو ما إذا كان هناك شيء يجب تصحيحه أم لا.
يقتبس
تقرير قاعدة بيانات الحكومة الأمريكية حول نقاط الضعف
تقرير منشور على موقع الويب الرسمي لمكافحة التطرف العنيف
اقرأ نتائج الباحث
CVE-2022-33994: – تخزين XSS في WordPress
صورة مميزة بواسطة Shutterstock / Kues
#هل #تم #العثور #على #ثغرة #أمنية #في #مكون #WordPress #Gutenberg #الإضافي
المصدر
تعليقات
إرسال تعليق