2017年10月19日，阿里云安全威脅情報(bào)系統(tǒng)監(jiān)測(cè)到WordPress 官方發(fā)布了一條安全通告表示在4.8.1版本中發(fā)現(xiàn)了一個(gè)存儲(chǔ)型的XSS漏洞，通過(guò)該漏洞，攻擊者可以在受影響網(wǎng)站的評(píng)論區(qū)寫下包含惡意代碼的留言，當(dāng)該留言頁(yè)面被打開(kāi)時(shí)，其中的惡意代碼會(huì)執(zhí)行，導(dǎo)致該網(wǎng)站的權(quán)限，插件等被更改，甚至被完全控制，安全風(fēng)險(xiǎn)為高危。
阿里云安全建議站長(zhǎng)們關(guān)注，并盡快開(kāi)展自查工作，及時(shí)更新WordPress。
具體詳情如下:

漏洞編號(hào):
暫無(wú)
漏洞名稱:
WordPress儲(chǔ)存型XSS漏洞
官方評(píng)級(jí):
高危
漏洞描述:
該漏洞影響WordPress4.8.1版本，攻擊者可以未授權(quán)通過(guò)WordPress的評(píng)論注入JavaScript攻擊代碼。評(píng)論被查看的時(shí)候，JavaScript就觸發(fā)了。如果管理員登陸查看評(píng)論觸發(fā)后，可能導(dǎo)致攻擊者進(jìn)入后臺(tái)通過(guò)主題或插件編輯從而命令執(zhí)行控制整個(gè)服務(wù)器，安全風(fēng)險(xiǎn)為高危
漏洞利用條件和方式:
遠(yuǎn)程利用
PoC狀態(tài):
目前PoC已經(jīng)公開(kāi)
漏洞影響范圍:
受影響的版本 WordPress 4.8.1
不受影響的版本 WordPress 4.8.2
漏洞檢測(cè):
開(kāi)發(fā)或運(yùn)維人員排查是否使用了受影響版本范圍內(nèi)的WordPress。
漏洞修復(fù)建議(或緩解措施):

目前已經(jīng)發(fā)布最新版本4.8.2 ，建議用戶登錄到面板點(diǎn)擊“更新升級(jí)"修復(fù)該漏洞；

用戶進(jìn)入WordPress后臺(tái)頁(yè)面，選擇“儀表盤”，可一鍵更新至WordPress最新版本。

4.8.1版本W(wǎng)ordPress用戶若不想升級(jí)，可以關(guān)閉所有文章頁(yè)面的評(píng)論；

打開(kāi)所用主題的function.php文件，將以下代碼添加進(jìn)文件中，保存后重新上傳到服務(wù)器。

//禁用頁(yè)面的評(píng)論功能 function disable_page_comments( $posts ) { if ( is_page()) { $posts[0]->comment_status = 'disabled'; $posts[0]->ping_status = 'disabled'; } return $posts; } add_filter( 'the_posts', 'disable_page_comments' );

使用阿里云服務(wù)器，啟用阿里云安全WAF可 支持該漏洞防御。購(gòu)買阿里云服務(wù)器同時(shí)可領(lǐng)取幸運(yùn)券享受優(yōu)惠活動(dòng)

阿里云服務(wù)器優(yōu)惠券領(lǐng)取：點(diǎn)擊領(lǐng)取

小科普：
存儲(chǔ)型XSS漏洞是什么?
存儲(chǔ)型XSS漏洞具有持久化，被插入的惡意代碼是存儲(chǔ)在服務(wù)器中的，如:在個(gè)人信息或發(fā)表文章等地方，如果沒(méi)有過(guò)濾或過(guò)濾不嚴(yán)，那么這些代碼將儲(chǔ)存到服務(wù)器中，用戶訪問(wèn)該頁(yè)面的時(shí)候觸發(fā)代碼執(zhí)行，這種存儲(chǔ)類型的XSS漏洞安全風(fēng)險(xiǎn)很高，容易造成蠕蟲(chóng)，盜竊cookie等。
反射型XSS漏洞是什么?
反射型XSS，它具有非持久化特性，需要欺騙用戶自己去點(diǎn)擊（用戶交互）鏈接才能觸發(fā)XSS代碼（服務(wù)器中沒(méi)有這樣的頁(yè)面和內(nèi)容），一般容易出現(xiàn)在搜索頁(yè)面。

總結(jié)

以上是生活随笔為你收集整理的WordPress4.8.1版本存在XSS跨站攻击漏洞的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。