राष्ट्रीय भेद्यता डेटाबेस ने घोषणा की कि 3 मिलियन से अधिक की संख्या में स्थापित एक लोकप्रिय Google Analytics वर्डप्रेस प्लगइन को एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता के लिए खोजा गया था।
संग्रहीत एक्सएसएस
एक क्रॉस-साइट स्क्रिप्टिंग (XSS) हमला आम तौर पर तब होता है जब उपयोगकर्ता इनपुट स्वीकार करने वाली वेबसाइट का एक हिस्सा असुरक्षित होता है और स्क्रिप्ट या लिंक जैसे अप्रत्याशित इनपुट की अनुमति देता है।
वेबसाइट पर अनधिकृत पहुंच प्राप्त करने के लिए XSS भेद्यता का लाभ उठाया जा सकता है और इससे उपयोगकर्ता डेटा चोरी या पूर्ण साइट अधिग्रहण हो सकता है।
गैर-लाभकारी ओपन वर्ल्डवाइड एप्लीकेशन सिक्योरिटी प्रोजेक्ट (OWASP) वर्णन करता है XSS भेद्यता कैसे काम करती है:
“एक हमलावर एक असुरक्षित उपयोगकर्ता को दुर्भावनापूर्ण स्क्रिप्ट भेजने के लिए XSS का उपयोग कर सकता है। अंतिम उपयोगकर्ता के ब्राउज़र के पास यह जानने का कोई तरीका नहीं है कि स्क्रिप्ट पर भरोसा नहीं किया जाना चाहिए, और स्क्रिप्ट को निष्पादित करेगा।
क्योंकि यह सोचता है कि स्क्रिप्ट एक विश्वसनीय स्रोत से आई है, दुर्भावनापूर्ण स्क्रिप्ट किसी भी कुकीज़, सत्र टोकन, या अन्य संवेदनशील जानकारी तक पहुँच सकती है जिसे ब्राउज़र द्वारा बनाए रखा जाता है और उस साइट के साथ उपयोग किया जाता है।
एक संग्रहीत XSS, जो यकीनन बदतर है, वह है जिसमें दुर्भावनापूर्ण स्क्रिप्ट को वेबसाइट सर्वर पर ही संग्रहीत किया जाता है।
प्लगइन, मॉन्स्टरइनसाइट्स – वर्डप्रेस के लिए Google Analytics डैशबोर्ड, भेद्यता के संग्रहीत XSS संस्करण के लिए खोजा गया था।
मॉन्स्टरइनसाइट्स – वर्डप्रेस भेद्यता के लिए Google विश्लेषिकी डैशबोर्ड
MonsterInsights Google Analytics प्लगइन तीन मिलियन से अधिक वेबसाइटों में स्थापित है, जो इस भेद्यता को और अधिक चिंताजनक बनाता है।
वर्डप्रेस सुरक्षा कंपनी, पैचस्टैक, जिसने भेद्यता की खोज की, प्रकाशित विवरण:
“रफी मुहम्मद (पैचस्टैक) ने मॉन्स्टरइनसाइट्स प्लगइन द्वारा वर्डप्रेस गूगल एनालिटिक्स में इस क्रॉस साइट स्क्रिप्टिंग (एक्सएसएस) भेद्यता की खोज की और रिपोर्ट की।
यह किसी दुर्भावनापूर्ण अभिनेता को दुर्भावनापूर्ण स्क्रिप्ट, जैसे रीडायरेक्ट, विज्ञापन और अन्य HTML पेलोड को आपकी वेबसाइट में इंजेक्ट करने की अनुमति दे सकता है, जिसे मेहमानों द्वारा आपकी साइट पर आने पर निष्पादित किया जाएगा।
यह भेद्यता संस्करण 8.14.1 में तय की गई है।”
मॉन्स्टरइनसाइट्स प्लगइन चैंज वर्डप्रेस प्लगइन रिपॉजिटरी पर सुरक्षा पैच की कुछ अस्पष्ट व्याख्या की पेशकश की:
“फिक्स्ड: हमने एक PHP चेतावनी त्रुटि को ठीक किया है और अतिरिक्त सुरक्षा को सख्त किया है।”
एक “सुरक्षा सख्त” एक शब्द है जिसे हमले के वैक्टर को कम करने से संबंधित कई कार्यों पर लागू किया जा सकता है, जैसे संस्करण संख्या को हटाना।
वर्डप्रेस ने एक प्रकाशित किया है सुरक्षा सख्त करने के बारे में पूरा पृष्ठ जो नियमित डेटाबेस बैकअप, विश्वसनीय स्रोतों से थीम और प्लगइन्स प्राप्त करने और मजबूत पासवर्ड का उपयोग करने जैसे सुरक्षा सख्त कार्यों की सिफारिश करता है।
वे सभी गतिविधियाँ सुरक्षा को सख्त कर रही हैं।
इसीलिए वाक्यांश का उपयोग करना, “सुरक्षा सख्त” एक सामान्य और सामान्य शब्द है जिसका उपयोग किसी ऐसी चीज़ के लिए किया जाता है जो XSS सुरक्षा भेद्यता को पैच करने के रूप में विशिष्ट (और महत्वपूर्ण) है, जिससे उपयोगकर्ता अपने प्लगइन को अपडेट करना छोड़ सकता है।
अनुशंसित कार्रवाई
पैचस्टैक अनुशंसा करता है कि मॉन्स्टरइनसाइट्स एनालिटिक्स प्लगइन के सभी उपयोगकर्ता अपने वर्डप्रेस प्लगइन को तुरंत नवीनतम संस्करण या कम से कम संस्करण 8.14.1 में अपडेट करें।
यूएस राष्ट्रीय भेद्यता डेटाबेस घोषणा पढ़ें:
पैचस्टैक की घोषणा पढ़ें:
