【WordPress 安全】PHP_SELFish 第 1 部分 – underConstruction 插件中的反射 XSS

今天的帖子是两部分博客文章的第一部分。它描述了一个利用该PHP_SELF变量的跨站点脚本漏洞。明天我们将发布第二部分，其中描述了另一个插件，该插件存在与使用PHP_SELF. 因此，请务必通过我们的邮件列表查找该帖子，您可以在此页面上加入，以防您还不是会员。

在2021年8月16日，Wordfence威胁智能感知系统团队尝试启动披露对反射跨站脚本漏洞underConstruction，一个WordPress插件有超过80,000安装。

在 2 周没有回应后，我们于 2021 年 8 月 30 日将该问题转发给了 WordPress 插件团队。第二天，即 2021 年 8 月 31 日，发布了补丁版本 1.19。

针对此漏洞的防火墙规则已于 2021 年 8 月 16 日发布给 Wordfence Premium 用户，并于 2021 年 9 月 15 日向使用 Wordfence 免费版的网站开放。

如果您没有运行 Wordfence，并且是此插件的用户，我们建议您立即升级到包含补丁的 underConstruction 1.19 版。

描述：反射跨站脚本影响插件：underConstructionPlugin Slug：underconstruction受影响版本：<= 1.18CVE ID：CVE-2021-39320CVSS 分数：6.1（中）CVSS 向量：CVSS:3.1/AV:N/AC: /PR:N/UI:R/S:C/C:L/I:L/A:N研究员/s：Ramuel Gall全补丁版本：1.19

underConstruction 插件选项页面包含一个设置表单，该表单将$GLOBALS['PHP_SELF']变量的值  作为其提交目标。

<form method="post"    action="<?php echo $GLOBALS['PHP_SELF'] . '?page=' . $this->mainOptionsPage; ?>"    id="ucoptions">

PHP_SELF存储当前正在运行的脚本的路径，因此这是一种让表单提交给自身的简单方法。PHP_SELF默认情况下，运行 Apache 和 modPHP 的站点会在文件名之后存储其他路径信息，例如examplesite.com/index.php/extrapath. 不幸的是，这意味着可以将 JavaScript 添加到路径本身，例如：

<siteURL>/wp-admin/admin.php//index"/><svg/onload=alert(/xss/)>?page=under-construction

如果攻击者能够诱使管理员点击精心制作的链接，则该链接可用于在该管理员的会话中执行 JavaScript，这可用于添加恶意管理员用户，或在站点上安装后门，从而导致站点被接管.

默认情况下，运行 Nginx 或 Apache+PHP-FPM 的站点不会存储漏洞工作所需的额外路径信息，但某些共享主机提供商可能会启用此功能以与其他软件兼容。

时间线

• 2021年8 月 16 日– Wordfence 威胁情报发现漏洞并尝试联系插件开发人员。我们发布了防火墙规则来保护 Wordfence Premium 用户。

• 2021年8 月 30 日– 在 2 周没有回复后，我们联系了 WordPress 插件团队。

• 2021年8 月 31 日– 提供了插件的修补版本。

• 2021年9 月 15 日- 运行免费版 Wordfence 的网站收到防火墙规则。

结论

在今天的文章中，我们介绍了 underConstruction 插件中反映的跨站点脚本 (XSS) 漏洞，该漏洞可用于在管理员会话中执行恶意 JavaScript 并接管站点。PHP_SELF由于越来越多地使用最佳实践（例如转义输出和使用内置的 WordPress 功能来安全保存选项），XSS 漏洞目标不再像过去那样普遍，但它们仍然不时被发现。

在导致我们发现此漏洞的研究过程中，我们在另一个安装了 40,000 多次的插件中发现了第二个类似的漏洞，我们将在明天的帖子中详细介绍。

自 2021 年 8 月 16 日起，Wordfence Premium用户已受到此漏洞的保护。仍在运行 Wordfence 免费版本的网站于 2021 年 9 月 15 日获得相同的保护。尽管如此，我们强烈建议尽快更新到可用的最新版本 1.19 .

如果您认为您的网站因此次攻击或任何其他攻击而受到损害，Wordfence 会提供专业的网站清理服务。我们的安全分析师会删除发现的任何恶意软件，并在可能的情况下确定入侵媒介，并提供建议以防止未来感染。

如果您认识的任何人正在使用 underConstruction 插件，请将本文转发给他们并鼓励他们更新。