В WordPress исправили критическую XSS-уязвимость
Брешь приводила к ошибкам в процессе проверки безопасности HTML-тегов в поле комментариев, что позволяло совершить XSS-атаку.
Вчера, 20 ноября 2014 года, разработчики популярного CMS WordPress выпустили обновление 4.0.1, о чем сообщается в официальном блоге компании. Помимо прочего, апдейт исправляет критическую XSS-уязвимость, позволяющую злоумышленникам получить доступ к ресурсу под управлением этой платформы.
Проблема заключалась в том, что WordPress позволяет оформлять комментарии с помощью ряда HTML-тегов. Разработчики CMS попытались ввести защитные меры, ограничив количество разрешенных для использования тегов и введя дополнительные проверки HTML-кода в комментариях на наличие небезопасных элементов. В некоторых случаях эти проверки не срабатывали, а браузер выполнял разбор некорректного HTML-кода. Это позволяло вставить вредоносную полезную нагрузку в поле комментариев, совершив таким образом XSS-атаку на уязвимый сайт.
Одним из решений для предотвращения подобных ситуаций могло быть использование стандартной библиотеки наподобие HTML Purifier. Многие разработчики отказываются от ее использования, предпочитая более легковесные альтернативы. Тем не менее, HTML Purifier предоставляет целый ряд встроенных средств безопасности: он нормализует HTML-код и уничтожает некорректные элементы, а также предоставляет гибкий файл конфигурации. Решение, используемое в WordPress, вместо этого полагается на регулярные выражения, которые не всегда могут обеспечить достаточный уровень безопасности.