Everest Forms WordPress plugin gặp lỗi XSS phản chiếu, cho phép thực thi script trong trình duyệt người dùng

Điểm yếu Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') trong Everest Forms cho phép Reflected XSS. Vấn đề này ảnh hưởng đến Everest Forms: từ n/a đến hết 3.6.1.

• Package everest-forms của Everest Forms được ghi nhận bị ảnh hưởng từ n/a đến hết 3.6.1.
• Bản ghi thay đổi trạng thái tại 3.6.2 thành unaffected.
• Trạng thái mặc định của sản phẩm được ghi nhận là unaffected ngoài phạm vi bị ảnh hưởng đã nêu.
• Hồ sơ hiện có không chỉ rõ thêm các nhánh phát hành hoặc triển khai Everest Forms nào khác.

Đây là lỗi CWE-79 Reflected Cross-Site Scripting do xử lý không đúng input trong quá trình tạo trang web. Theo bản chất của lỗi được ghi nhận, input do kẻ tấn công kiểm soát có thể được phản chiếu vào response và được trình duyệt xử lý như script. Khai thác có thể thực hiện qua mạng, không yêu cầu quyền truy cập, có độ phức tạp thấp và cần người dùng tương tác. Endpoint, tham số, HTML context và payload cụ thể không được công bố, vì vậy điểm chèn chính xác và đường thực thi phía trình duyệt vẫn chưa rõ. Thành phần bị ảnh hưởng là WordPress plugin/package everest-forms; bằng chứng hiện có không xác định các tích hợp Everest Forms khác hoặc các nhánh plugin riêng biệt có bị ảnh hưởng hay không.

• Có thể truy cập qua mạng và không yêu cầu quyền của attacker; thuộc tính khai thác trong bản ghi đặt Privileges Required là không có.
• User Interaction là bắt buộc, nghĩa là nạn nhân phải mở, truy cập hoặc thực hiện hành động với nội dung do attacker kiểm soát.
• Patchstack mô tả yêu cầu quyền là unauthenticated, phù hợp với thuộc tính không yêu cầu quyền trong bản ghi có cấu trúc.
• Phần CISA ADP enrichment trong bản ghi đánh dấu trạng thái exploitation là none và automatable là no. Đây là đánh giá trong phạm vi nguồn đó, không chứng minh rằng việc khai thác là không thể xảy ra.
• Bản ghi không xác định public exploit hoặc một chiến dịch khai thác cụ thể.

Khai thác thành công có thể thực thi script do attacker kiểm soát trong trình duyệt của người dùng dưới context của website bị ảnh hưởng. Tùy vào quyền của nạn nhân và dữ liệu mà trình duyệt có thể truy cập, điều này có thể dẫn đến đọc dữ liệu, thay đổi nội dung hoặc thực hiện hành động thay mặt người dùng. Bản ghi mô tả tác động đến confidentiality, integrity và availability ở mức thấp, với scope thay đổi, nhưng không cung cấp endpoint hoặc context cụ thể để xác định hậu quả trong từng triển khai. Do yêu cầu user interaction, tác động phụ thuộc vào việc nạn nhân mở hoặc tương tác với nội dung do attacker kiểm soát. Bằng chứng hiện có không nêu nạn nhân, chiến dịch hoặc sự cố xâm nhập cụ thể.

Website sử dụng plugin bị ảnh hưởng có thể khiến người dùng hoặc quản trị viên thực thi script do attacker kiểm soát khi tương tác với nội dung độc hại. Tùy thuộc vào context của trình duyệt và quyền của người dùng, hậu quả có thể gồm lộ dữ liệu mà phiên trình duyệt được phép truy cập, thay đổi nội dung hoặc hành động trên trang, và ảnh hưởng đến tính sẵn sàng của chức năng. Đây là các hậu quả có thể xảy ra, không phải bằng chứng cho thấy dữ liệu đã bị truy cập hoặc website đã bị xâm nhập. Vì không yêu cầu quyền attacker nhưng cần người dùng tương tác, mức độ rủi ro phụ thuộc đáng kể vào khả năng đưa nội dung hoặc liên kết độc hại đến người dùng mục tiêu.

1. Cập nhật Everest Forms WordPress plugin lên phiên bản mới nhất hiện có, với 3.6.2 là phiên bản tối thiểu được giải pháp cung cấp nêu rõ và được bản ghi đánh dấu unaffected.
2. Xác minh sau khi cập nhật rằng package everest-forms đang chạy đúng bản đã sửa trên mọi website và mọi môi trường triển khai.
3. Nếu chưa thể cập nhật ngay, Patchstack cho biết có mitigation rule để chặn cuộc tấn công cho đến khi hoàn tất cập nhật. Biện pháp giảm thiểu này không nên được xem là thay thế cho việc nâng cấp.

1. Kiểm kê các website WordPress có cài đặt package everest-forms và ghi nhận phiên bản đang triển khai.
2. Đối chiếu phiên bản trong inventory với các ranh giới bị ảnh hưởng và đã được sửa trong hồ sơ sản phẩm.
3. Kiểm tra request và response liên quan đến chức năng Everest Forms để tìm trường hợp input của người dùng được phản chiếu bất thường vào HTML hoặc context script. Đây là biện pháp kiểm tra phòng ngừa, không phải IOC đã được vendor xác nhận.
4. Rà soát báo cáo về script bất thường, thay đổi nội dung trang, hành động ngoài dự kiến hoặc dấu hiệu bất thường trong phiên người dùng sau khi họ truy cập liên kết bên ngoài. Không có log bất thường không chứng minh hệ thống an toàn.