WordPress cross-site scripting és szolgáltatás megtagadás sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

WordPress 3.x

Összefoglaló

A WordPress két sérülékenységét jelentették, melyeket a támadók kihasználhatnak cross-site scripting (XSS/CSS) támadások indítására és szolgáltatás megtagadás (DoS – Denial of Service) okozására.

Leírás

1. Egyes, részletesen nem ismertetett bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.
2. A wp-includes/formatting.php “make_clickable()” függvénye nem megfelelően ellenőrzi a hozzászólásokban található URL hosszúságát, mielőtt átadná azokat a PCRE könyvtárnak. Ez kihasználható rendszer összeomlás okozására.

A sérülékenységeket a 3.1.1 verziót megelőzőekben jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: wordpress.org
SECUNIA 44038