Kesilapan dalam plugin WordPress popular Jetpack meletakkan lebih dari satu juta laman web yang berisiko

Pemilik laman web berasaskan WordPress harus mengemas kini plug-in Jetpack secepat mungkin kerana kecacatan yang serius yang boleh mendedahkan pengguna mereka untuk menyerang.

Jetpack adalah plug-in popular yang menawarkan ciri pengoptimuman, pengurusan dan keselamatan laman web percuma. Ia dibangunkan oleh Automattic, syarikat di belakang WordPress.com dan projek sumber terbuka WordPress, dan mempunyai lebih dari 1 juta pemasangan aktif.

Penyelidik dari firma keselamatan Web Sucuri telah menemui kerentanan skrip lintas tapak (XSS) yang disimpan menjejaskan semua siaran Jetpack sejak 2012, bermula dengan versi 2.0.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows anda]

Isu ini terletak dalam modul Jetpack Penyahkod ringkas yang membolehkan pengguna memasukkan video luaran, imej , dokumen, tweet dan sumber lain ke dalam kandungan mereka. Ia boleh dengan mudah dieksploitasi untuk menyuntik kod JavaScript yang jahat ke dalam komen.

Oleh kerana kod JavaScript berterusan, ia akan dilaksanakan dalam pelayar pengguna dalam konteks laman web yang terjejas setiap kali mereka melihat komen yang berniat jahat. Ini boleh digunakan untuk mencuri kuki pengesahan mereka, termasuk sesi pentadbir; untuk mengalihkan pelawat ke eksploit, atau untuk menyuntik spam pengoptimuman enjin carian (SEO).

"Kerentanan boleh dengan mudah dieksploitasi melalui wp-komen dan kami mengesyorkan semua orang untuk mengemas kini sekiranya anda belum melakukannya lagi," kata Sucuri penyelidik Marc-Alexandre Montpas dalam postingan blog.

Situs-laman yang tidak mempunyai modul Modul Penyemat ringkas yang diaktifkan tidak terjejas, tetapi modul ini menyediakan fungsi yang popular sehingga banyak laman web kemungkinan akan diaktifkan.

Pengembang Jetpack telah bekerja dengan pasukan keselamatan WordPress untuk menolak kemas kini kepada semua versi yang terjejas menerusi sistem pembaruan automatik teras WordPress. Versi Jetpack 4.0.3 atau yang lebih baru mengandungi penetapannya.

Dalam kes pengguna tidak mahu menaik taraf kepada versi terkini, pemaju Jetpack juga telah mengeluarkan siaran titik untuk semua cawangan rentetan dua puluh satu daripada Jetpack codebase: 2.0. 7, 2.1.5, 2.2.8, 2.3.8, 2.4.5, 2.5.3, 2.6.4, 2.7.3, 2.8.3, 2.9.4, 3.0.4, 3.1.3, 3.2.3, 3.3.4, 3.4.4, 3.5.4, 3.6.2, 3.7.3, 3.8.3, 3.9.7, dan 4.0.3.