Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2024-1037 là lỗ hổng Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') ảnh hưởng tới All-In-One Security (AIOS) – Security and Firewall (phiên bản bị ảnh hưởng: ≤ 5.2.5). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.1. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Plugin All-In-One Security (AIOS) – Security and Firewall cho WordPress dễ bị Cross-Site Scripting phản chiếu thông qua tham số 'tab' trong mọi phiên bản đến và bao gồm 5.2.5, do việc sanitization đầu vào và output escaping không đầy đủ. Điều này cho phép những kẻ tấn công chưa xác thực chèn các web script tùy ý vào những trang, nơi chúng sẽ được thực thi nếu chúng có thể lừa người dùng thực hiện một hành động chẳng hạn như nhấp vào một liên kết.
davidanderson, với trạng thái mặc định được ghi nhận là unaffected.0 đến và bao gồm 5.2.5.5.2.6 là phiên bản đã vá cho lỗ hổng này. Trạng thái của các nhánh song song hoặc các phiên bản về sau chưa được xác minh độc lập trong bằng chứng hiện có.Lỗ hổng nằm trong cách plugin xử lý giá trị do người dùng kiểm soát từ tham số tab. Dữ liệu này không được sanitization đầy đủ trước khi đưa trở lại nội dung trang và output escaping cũng không đầy đủ, nên giá trị do kẻ tấn công kiểm soát có thể được trình duyệt diễn giải như script. Cuộc tấn công cần một yêu cầu mạng tới website có cài plugin và cần lừa nạn nhân thực hiện hành động như nhấp vào một liên kết được tạo sẵn; kẻ tấn công không cần xác thực với plugin. Bằng chứng hiện có không xác định chính xác endpoint, HTML context hoặc sink nơi giá trị được phản chiếu, cũng không cho biết thêm điều kiện cấu hình nào là bắt buộc.
Lỗ hổng có thể bị khai thác từ xa qua mạng và không yêu cầu quyền xác thực. Độ phức tạp khai thác được ghi nhận là thấp, nhưng cần tương tác của người dùng: nạn nhân phải truy cập liên kết hoặc thực hiện hành động tương tự để script chạy trong trình duyệt. Bản ghi được cung cấp không xác định public exploit và cũng không kết luận rằng lỗ hổng chưa từng bị khai thác trong thực tế. Không có thông tin cho thấy cuộc tấn công tự thực thi mà không cần nạn nhân tương tác.
Script được phản chiếu có thể chạy trong trình duyệt của người dùng sau khi họ thực hiện hành động được kẻ tấn công dẫn dụ. Tác động thực tế phụ thuộc vào quyền của người dùng, dữ liệu hiện diện trong trang, trạng thái phiên và các cơ chế bảo vệ của trình duyệt. Vì không yêu cầu xác thực ở phía kẻ tấn công, lỗ hổng có thể được dùng để nhắm tới người dùng của website thay vì chỉ nhắm tới tài khoản plugin. Bằng chứng hiện có không xác lập khả năng thực thi mã phía máy chủ, duy trì mã độc, hoặc gây mất tính sẵn sàng của dịch vụ.
Lỗ hổng cho phép kẻ tấn công đưa nội dung script vào phản hồi của website và thực thi nội dung đó trong trình duyệt của nạn nhân dưới ngữ cảnh của website. Tùy vào phiên đăng nhập, quyền của nạn nhân và các biện pháp bảo vệ trình duyệt, tác động có thể bao gồm đọc hoặc thay đổi dữ liệu mà trình duyệt được phép truy cập, hoặc kích hoạt các thao tác thay mặt người dùng. Việc không cần xác thực làm giảm rào cản phía kẻ tấn công, nhưng yêu cầu người dùng tương tác làm giới hạn đường khai thác. Bản ghi không mô tả vụ rò rỉ dữ liệu, chiếm quyền tài khoản hoặc gián đoạn dịch vụ cụ thể nào.
5.2.6, là phiên bản được xác định đã vá cho lỗ hổng này.tab.all-in-one-wp-security-and-firewall, đồng thời ghi nhận phiên bản cài đặt để đối chiếu với các ranh giới affected và patched trong mục affected_summary.tab chứa giá trị bất thường hoặc dữ liệu có vẻ là markup/script. Đây chỉ là heuristic phòng ngừa, không phải IOC đã được xác nhận.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
%20%E2%80%93%20Security%20and%20Firewall.svg){kind=icon}