Jetpack 4.0.3 – это выпуск безопасности, который содержит важное исправление критической уязвимости, которая присутствует в подключаемом модуле с версии 2.0, выпущенной в 2012 году. По словам члена команды Jetpack Сэма Хотчкисса, сохраненная уязвимость XSS была обнаружена таким образом, чтобы обрабатываются некоторые шорткоды Jetpack, что позволяет злоумышленнику вставлять JavaScript в комментарии, чтобы захватить браузер посетителя.
Эта конкретная ошибка похожа на недавно обнаруженную и исправленную в bbPress .
«Подобные проблемы могут существовать и в других плагинах, и это хорошее напоминание о том, что регулярные выражения могут создавать проблемы при синтаксическом анализе данных», – сказал Хотчкисс.
Команда Jetpack работала с командой безопасности WordPress над выпуском точечных релизов для всех уязвимых ветвей кодовой базы плагина, включая все версии, следующие за 2.0. Они используют основную систему автоматического обновления WordPress, поэтому все сайты, которые явно не отказались от нее, получат обновление безопасности.
«К счастью, у нас нет доказательств того, что это использовалось в дикой природе», – сказал Хотчкисс. «Однако теперь, когда это обновление стало общедоступным, это лишь вопрос времени, когда кто-то попытается его использовать». Команда Jetpack рекомендует пользователям выполнить обновление как можно скорее, поскольку обновление также устраняет любые потенциальные эксплойты, которые, возможно, уже были применены.
Команда благодарит Марка-Александра Монпа из Sucuri за обнаружение ошибки и ответственное ее раскрытие. Пользователи будут уведомлены о выпуске безопасности по электронной почте, но те, у кого установлен Akismet и / или VaultPress, уже были защищены с момента первого сообщения об уязвимости.
