هل تم العثور على ثغرة أمنية في البرنامج المساعد لـ WordPress Gutenberg؟

نشرت قاعدة بيانات الثغرات الأمنية الوطنية التابعة لحكومة الولايات المتحدة إشعارًا بوجود ثغرة أمنية تم اكتشافها في المكون الإضافي الرسمي لـ WordPress Gutenberg. ولكن وفقًا للشخص الذي وجدها ، يُقال إن WordPress لم يعترف بأنها ثغرة أمنية.

ثغرة أمنية في البرمجة النصية عبر المواقع المخزنة (XSS)

XSS هو نوع من الثغرات الأمنية التي تحدث عندما يتمكن شخص ما من تحميل شيء مثل برنامج نصي لا يُسمح به عادةً من خلال نموذج أو طريقة أخرى.

ستتحقق معظم النماذج وإدخالات مواقع الويب الأخرى من أن ما يتم تحديثه متوقع وستقوم بتصفية الملفات الخطرة.

مثال على ذلك هو نموذج لتحميل صورة يفشل في منع المهاجم من تحميل نص برمجي ضار.

وفقًا لمشروع Open Web Application Security Project غير الربحي ، وهي منظمة تركز على المساعدة في تحسين أمان البرامج ، هذا ما يمكن أن يحدث مع هجوم XSS ناجح:

"يمكن للمهاجم استخدام XSS لإرسال برنامج نصي ضار إلى مستخدم غير مرتاب.

ليس لدى مستعرض المستخدم النهائي طريقة لمعرفة أنه لا ينبغي الوثوق بالبرنامج النصي ، وسيقوم بتنفيذ البرنامج النصي.

نظرًا لأنه يعتقد أن البرنامج النصي جاء من مصدر موثوق به ، يمكن للبرنامج النصي الضار الوصول إلى أي ملفات تعريف ارتباط أو رموز جلسة أو معلومات حساسة أخرى يحتفظ بها المتصفح ويتم استخدامها مع هذا الموقع.

يمكن لهذه البرامج النصية إعادة كتابة محتوى صفحة HTML ".

نقاط الضعف والتعرض الشائعة - مكافحة التطرف العنيف

تعمل منظمة تسمى CVE كطريقة لتوثيق نقاط الضعف ونشر الاكتشافات للجمهور.

تقوم المنظمة ، التي تدعمها وزارة الأمن الداخلي الأمريكية ، بفحص اكتشافات نقاط الضعف ، وفي حالة قبولها ، ستخصص للثغرة رقم CVE الذي يعمل كرقم تعريف لتلك الثغرة الأمنية المحددة.

اكتشاف نقاط الضعف في جوتنبرج

اكتشف البحث الأمني ​​ما يُعتقد أنه ثغرة أمنية. تم تقديم الاكتشاف إلى CVE ، وتمت الموافقة على الاكتشاف وتخصيص رقم معرف CVE ، مما يجعل الاكتشاف ثغرة أمنية رسمية.

أعطيت ثغرة XSS رقم المعرف CVE-2022-33994.

يحتوي تقرير الثغرات الأمنية الذي تم نشره على موقع مكافحة التطرف العنيف على هذا الوصف:

"يسمح المكون الإضافي Gutenberg عبر 13.7.3 لـ WordPress بتخزين XSS من خلال دور المساهم عبر مستند SVG إلى ميزة" الإدراج من URL ".

ملاحظة: لا يتم تنفيذ حمولة XSS في سياق مجال مثيل WordPress ؛ ومع ذلك ، فإن المحاولات المماثلة من قبل المستخدمين ذوي الامتيازات المنخفضة للإشارة إلى مستندات SVG يتم حظرها بواسطة بعض المنتجات المماثلة ، وقد يكون لهذا الاختلاف السلوكي صلة أمنية ببعض مسؤولي موقع WordPress ".

هذا يعني أن شخصًا ما لديه امتيازات مستوى المساهم يمكن أن يتسبب في إدراج ملف ضار في موقع الويب.

طريقة القيام بذلك هي عن طريق إدخال الصورة من خلال عنوان URL.

في جوتنبرج ، توجد ثلاث طرق لتحميل صورة.

1. ارفعها
2. اختر صورة موجودة من WordPress Media Libary
3. أدخل الصورة من URL

هذه الطريقة الأخيرة هي مصدر الثغرة الأمنية لأنه ، وفقًا للباحث الأمني ​​، يمكن للمرء تحميل صورة بأي اسم ملف امتداد إلى WordPress عبر عنوان URL ، وهو ما لا تسمح به ميزة التحميل.

هل هي بالفعل ثغرة أمنية؟

أبلغ الباحث عن الضعف في WordPress. لكن وفقًا للشخص الذي اكتشفها ، لم يعترف WordPress بها على أنها ثغرة أمنية.

هذا ما كتبته الباحثة:

"لقد وجدت ثغرة في Stored Cross Site Scripting في WordPress تم رفضها وتم تصنيفها على أنها إعلامية من قبل فريق WordPress.

اليوم هو اليوم الخامس والأربعون منذ أن أبلغت عن الثغرة الأمنية ومع ذلك لم يتم تصحيح الثغرة الأمنية حتى كتابة هذا ... "

لذلك يبدو أن هناك سؤالًا حول ما إذا كان WordPress صحيحًا وأن مؤسسة CVE المدعومة من حكومة الولايات المتحدة خاطئة (أو العكس) حول ما إذا كانت هذه ثغرة XSS.

يصر الباحث على أن هذه ثغرة أمنية حقيقية ويقدم قبول مكافحة التطرف العنيف للتحقق من صحة هذا الادعاء.

علاوة على ذلك ، يشير الباحث أو يقترح أن الموقف الذي يسمح فيه المكون الإضافي لـ WordPress Gutenberg بتحميل الصور عبر عنوان URL قد لا يكون ممارسة جيدة ، مشيرًا إلى أن الشركات الأخرى لا تسمح بهذا النوع من التحميل.

"إذا كان الأمر كذلك ، فأخبرني لماذا ... ... ذهبت شركات مثل Google و Slack إلى حد التحقق من صحة الملفات التي تم تحميلها عبر عنوان URL ورفض الملفات إذا تم العثور عليها على أنها SVG!

... لا تسمح Google و Slack ... لملفات SVG بالتحميل عبر عنوان URL ، وهو ما يفعله WordPress! "

ماذا أفعل؟

لم يصدر WordPress إصلاحًا للثغرة الأمنية لأنهم على ما يبدو لا يعتقدون أنها ثغرة أمنية أو مشكلة.

يشير تقرير الثغرات الأمنية الرسمي إلى أن إصدارات جوتنبرج حتى 13.7.3 تحتوي على الثغرة الأمنية.

لكن الإصدار 13.7.3 هو الإصدار الأحدث.

وفقًا لسجل التغيير الرسمي لـ WordPress Gutenberg الذي يسجل جميع التغييرات السابقة وينشر أيضًا وصفًا للتغييرات المستقبلية ، لم تكن هناك إصلاحات لهذه الثغرة الأمنية (المزعومة) ، وليس هناك مخطط لها.

لذا فإن السؤال هو ما إذا كان هناك شيء لإصلاحه أم لا.

اقتباسات

تقرير قاعدة بيانات الحكومة الأمريكية حول نقاط الضعف

تفاصيل CVE-2022-33994

التقرير منشور على الموقع الرسمي لمكافحة التطرف العنيف

تفاصيل CVE-2022-33994

اقرأ نتائج الباحث

CVE-2022-33994: - تخزين XSS في WordPress

صورة مميزة بواسطة Shutterstock / Kues