808      技術社區[雲棲]

漏洞預警：WordPress 儲存型 XSS 漏洞

2017年10月19日，WordPress 官方發布了一條安全通告表示在4.8.1版本中發現了一個存儲型的XSS漏洞，通過該漏洞，攻擊者可以在受影響網站的評論區寫下包含惡意代碼的留言，當該留言頁麵被打開時，其中的惡意代碼會執行，導致該網站的權限，插件等被更改，甚至被完全控製，安全風險為高危。

目前WordPress是全球裝機量比較大的CMS係統，建議站長們關注，並盡快開展自查工作，及時更新到最新版WordPress。

漏洞利用條件和方式:

遠程利用

PoC狀態

目前PoC已經公開

漏洞影響範圍:

• 受影響的版本 WordPress 4.8.1

• 不受影響的版本 WordPress 4.8.2

安全建議:

• 目前已經發布最新版本4.8.2 ，建議用戶登錄到麵板點擊“更新升級”修複該漏洞；

參考信息:

• https://blog.sucuri.net/2017/09/stored-cross-site-scripting-vulnerability-in-wordpress-4-8-1.html

• WordPress官方安全公告:https://wordpress.org/news/2017/09/wordpress-4-8-2-security-and-maintenance-release/

小科普：

• 存儲型XSS漏洞是什麼?

  存儲型XSS漏洞具有持久化，被插入的惡意代碼是存儲在服務器中的，如:在個人信息或發表文章等地方，如果沒有過濾或過濾不嚴，那麼這些代碼將儲存到服務器中，用戶訪問該頁麵的時候觸發代碼執行，這種存儲類型的XSS漏洞安全風險很高，容易造成蠕蟲，盜竊cookie等。

• 反射型XSS漏洞是什麼?

  反射型XSS，它具有非持久化特性，需要欺騙用戶自己去點擊（用戶交互）鏈接才能觸發XSS代碼（服務器中沒有這樣的頁麵和內容），一般容易出現在搜索頁麵。

最後更新：2017-11-02 15:34:45

  上一篇：  厲害了黑科技，動態安全下的防拖庫原來可以這麼簡單!

  下一篇：  這裏有兩個iOS彈窗，你能看出哪個是用來釣魚的麼？