Il plugin PageLayer contiene le vulnerabilità XSS, 200,000 Siti a rischio - IT

Il plugin PageLayer contiene le vulnerabilità XSS, 200,000 Immagine dell'articolo di Sites at Risk howtohosting.guide
I ricercatori di sicurezza hanno scoperto due vulnerabilità in un plugin di WordPress, questa volta colpisce più di 200,000 siti web. Il plug-in PageLayer contiene due XSS riflessi (cross Site Scripting) difetti che potrebbero consentire agli autori delle minacce di eseguire codice JavaScript dannoso nel browser di un amministratore. Questa attività dannosa potrebbe portare all'acquisizione del sito WordPress mirato. La scoperta arriva dal team di Wordfence.

La buona notizia è che Softaculous, gli sviluppatori del plug-in PageLayer, ha reagito rapidamente dopo la divulgazione. È ora disponibile una patch, e gli utenti del plugin dovrebbero applicarlo immediatamente. La versione sicura del plugin è PageLayer 1.3.5. Se il tuo sito web esegue un firewall specifico con protezione XSS integrata, non sarai influenzato dai problemi.

Dettagli sulle vulnerabilità del plug-in PageLayer

Primo, spieghiamo cos'è XSS o cross-site scripting. In parole povere, la definizione si applica a una falla di sicurezza che consente a un utente malintenzionato di iniettare script lato client (come JavaScript) in una pagina web per accedere direttamente alle informazioni cruciali. Anche, XSS può essere sfruttato per impersonare un utente o indurre un utente a rivelare informazioni che l'attaccante desidera possedere. Questi attacchi’ i risultati includono il dirottamento delle sessioni utente, deturpare i siti web, o reindirizzare gli utenti a siti Web dannosi.

PageLayer è un file costruttore di siti web drag-and-drop. I due difetti di XSS risiedono nel parametro della dimensione del carattere e nelle impostazioni del colore. Viene valutata la prima vulnerabilità 6.1 in termini di gravità, che significa pericolo medio.

Il plug-in PageLayer ha una pagina delle impostazioni, consentendo ai progettisti del sito di selezionare il carattere e il colore predefiniti utilizzati dal generatore di pagine. Queste opzioni sono accettate tramite vari parametri $ _POST” “Ad esempio il corpo[dimensione del font] o h3[dimensione del font] potrebbe essere utilizzato per impostare la dimensione del carattere per i tag body o h3, e colore[sfondo] potrebbe essere utilizzato per impostare il colore di sfondo”,"Spiega Wordfence.

Una funzione particolare, pagelayer_website_settings, è stato utilizzato per modificare queste impostazioni. Conteneva un controllo di capacità e un nonce in modo che solo le richieste autorizzate potessero applicare le modifiche. però, se una richiesta è stata inviata senza il parametro submit, la modifica non verrebbe salvata, e la richiesta continuerà con la funzione pagelayer_website_settings_T.

Questa funzione visualizzava i moduli nella pagina delle impostazioni” “purtroppo, questa funzione chiamava anche altre due funzioni che accettavano l'input dell'utente per visualizzare le impostazioni, ed è qui che un utente malintenzionato potrebbe iniettare JavaScript dannoso che potrebbe portare all'acquisizione di un sito WordPress”,” hanno riferito i ricercatori.

E la funzione pagelayer_website_color” “Se un utente malintenzionato può indurre un amministratore a fare clic su un collegamento che ha inviato una richiesta POST contenente un sottoparametro colore come colore[sfondo] impostato su uno script dannoso, quello script verrebbe eseguito nel browser dell'amministratore”,” Wordfence aggiunto.

Ulteriori dettagli tecnici sono disponibili in il rapporto originale.

Ricercato e creato da:
Krum Popov
Imprenditore appassionato del web, da allora realizza progetti web 2007. In 2020, ha fondato HTH.Guide, una piattaforma visionaria dedicata a semplificare la ricerca della soluzione di web hosting perfetta. Per saperne di più...
Revisionato tecnicamente da:
Metodi Ivanov
Esperto esperto di sviluppo web con 8+ Anni di esperienza, comprese conoscenze specialistiche negli ambienti di hosting. La sua esperienza garantisce che il contenuto soddisfi i più elevati standard di accuratezza e si allinei perfettamente con le tecnologie di hosting. Per saperne di più...

Lascio un commento

L'indirizzo email non verrà pubblicato. i campi richiesti sono contrassegnati *

Questo sito è protetto da reCAPTCHA e Google politica sulla riservatezza e Termini di servizio applicare.

Questo sito web utilizza i cookie per migliorare l'esperienza dell'utente. Utilizzando il nostro sito acconsenti a tutti i cookie in conformità con la ns politica sulla riservatezza.
Sono d'accordo
Su HTH.Guide, offriamo recensioni trasparenti di web hosting, garantire l’indipendenza dalle influenze esterne. Le nostre valutazioni sono imparziali poiché applichiamo standard rigorosi e coerenti a tutte le recensioni.
Mentre potremmo guadagnare commissioni di affiliazione da alcune delle società presenti, queste commissioni non compromettono l'integrità delle nostre recensioni né influenzano le nostre classifiche.
I guadagni dell'affiliato contribuiscono a coprire l'acquisizione dell'account, spese di prova, Manutenzione, e lo sviluppo del nostro sito web e dei sistemi interni.
Affidati a HTH.Guide per informazioni affidabili e sincerità sull'hosting.