3:33
7/5/2012
7/5/2012
Jakże “lamerski” stored xss w WordPress 3.3.2. Nasz komentarz w tej sprawie?
Ta… można zrobić XSS-a w najnowszym WordPress 3.3.2. Ale tylko z poziomu administratora. Administratorzy kradnący sobie ciastka nawzajem? “Juśtowidzię”…
Also, chakierzy chyba zaszyfrowali opis błędu w advisory — bo jak należy rozumieć: “If Admin Active When You Make Comment Not Published ( Not Work Exploit :D ).” ???
Posłuchaj jednego z naszych 8 cyberwykładów. Wiedzę podajemy z humorem i w przystępny dla każdego pracownika sposób. Zdalnie lub u Ciebie w firmie. Kliknij tu i zobacz opisy wykładów!
Każdy powinien zobaczyć te webinary! Praktyczna wiedza i zrozumiały język. 6 topowych tematów — kliknij tutaj i zobacz szczegółowe opisy oraz darmowy webinar.
Ten raport jest nie do konca zgodny ze stanem faktycznym. WordPress owszem zezwala administratorom na dodawanie niefiltrowanego HTML-u ale juz komentarze zarowno dodawane przez autora jak i anonimowych userow sa filtrowane. Wiecej info tutaj: http://codex.wordpress.org/FAQ_Security
Pozdrawiam.
Andrzej
Zezwala dla użytkownikom którzy mają dostęp do PA. Tam jest więcej takich ‘pr0’ XSS. Skoro uprzywilejowani bawili się by się w XSS w komentarzach, to czemu mieli by tego nie robić dodając np. wpisy? Błąd słaby, aczkolwiek fail ze strony programistów. http://tnij.org/qn2f
Dlaczego w temacie tamtego postu pisze:
“WordPress 3.2.2 Stored Cross Site Scripting”
A w kodzie:
# Tilte : WordPress 0day Cross Site Scripting (STORED) Version 3.3.2
Czyżby kod exploita był w wersji 3.3.2, a działał na WP w wersji 3.2.2?
it’s not a bug it’s a feature
No Script wypluwa info o XSS pod tematem “Zepsuj Firefoksa” :)
bo nie umie encji w tym kontekście
BTW. Czy powinienem zgłosić ten kawałek kodu jako bug na Bugzilli, może dev. Lisa będę mogli to naprawić? ;) Myślę nadal o “Psuciu Firefoksa”.
spróbuj sprzedać jako 0day do ZDI
w zaleznosci od poziomów (ról) użytkowników dodawanych przez admina (rejestrowanych przez guestów), w części ‘dla zalogowanych’ jest wiele więcej xss’ów, błędów z sql’em i jakieś info leak’i.
a co do zdi, to chyba raczej takie firmy wolą sploity enter->root. ;)