WND-RPSL.03.02.00-24-02D8/20-002 (WNIOSEK UE)
Udoskonalenie usługi hostingu serwerów wirtualnych wraz z dodaniem do niej usług zwiększających bezpieczeństwo danych
Suma projektu 3 689 508,00 PLN (kliknij, aby przeczytać więcej)

Plugin WordPress Commentator w wersji 2.5.2 podatny na atak Cross Site Scripting

Atak Cross Site Scripting !
Plugin WordPress Commentator w wersji 2.5.2 podatny na atak Cross Site Scripting !

Odkryta podatność umożliwia przejęcie konta administratora lub użytkownika, ewentualnie może być wykorzystana do ataku na użytkowników (np. zarażenie malwarem)

Podatny kod znajduje się w pliku commentator.php

linia:441
$provider_name = $_REQUEST["provider"];

linia:544
<div id="commentator-social-signin" class="commentator-<?php echo $provider_name; ?><p>">

Przykład wykorzystania podatności:
/wp-admin/admin-ajax.php?action=commentator_social_signin&provider=facebook">%20<IMG%20SRC=axc%20onerror=alert(1)>

W celu zabezpieczenia swojego WordPressa należy zaktualizować plugin Comenntator do wersji 2.5.3