L’ultima versione stabile di WordPress, la 4.2 è disponibile da pochi giorni ed è già vulnerabile ad un cross site scripting di tipo stored.

Un cross site scripting è di tipo stored quando il pattern di attacco viene salvato nel database e l’exploit dello stesso avviene in una fase successiva. L’impatto in questo caso può essere molto pericoloso se l’exploit avviene in un pannello di amministrazione della nostra applicazione, quindi possono essere sfruttate le permission di un utente privilegiato.

Questo è proprio il caso dell’exploit descritto da Jouko Pynnönen che ha scoperto la vulnerabilità.

Un commento molto lungo viene troncato prima essere inserito nel database essendo, il tipo di dato TEXT di MySQL, dimensionato a 64K.

Il testo del commento, quando verrà visualizzato, porterà con se dell’HTML malformato dentro al quale l’attaccante può quindi completare a piacere i tag per inserire il codice javascript che più gradisce.

In questo filmato si vede l’exploit di questa vulnerabilità con l’inserimento di un javascript e l’introduzione di una backdoor nel blog.

In questo caso non c’è ancora una patch e disabilitare i commenti può essere troppo drastico.

Quello che vi consiglio, mentre aspettiamo tutti la version 4.2.1 è quella di installare mod_security a protezione dei vostri blog e di installare il plugin wordstress per fare sempre una scansione whitebox delle vulnerabilità delle versioni installate di WordPress, plugin e temi di terze parti.

Se il buon giorno si vede dal mattino, sarà una lunga settimana.

Enjoy it!