WordPress “wp_guess_url()” cross-site scripting sérülékenység

CH azonosító

CH-6184

Angol cím

WordPress "wp_guess_url()" Cross-Site Scripting Vulnerability

Felfedezés dátuma

2012.01.03.

Súlyosság

Alacsony

Érintett rendszerek

WordPress

Érintett verziók

WordPress 3.x

Összefoglaló

A WordPress olyan sérülékenységét jelentették, amelyet a támadók kihasználva cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.

Leírás

Az URL által átadott bemeneti adat pl. a wp-comments-post.php részére nincs megfelelően ellenőrizve a “wp_guess_url()” függvényben a wp-includes/functions.php-ben, mielőtt a felhasználónak visszaadásra kerülne. Ezt kihasználva, tetszőleges HTML és script kódot lehet lefuttatni a felhasználó böngészőjének munkamenetében, az érintett oldal vonatkozásában.

A sérülékenységet a 3.3 verzióban jelentették.

Megoldás

Frissítsen a legújabb verzióra