Prilikom upotrebe programskog paketa WordPress, odnosno njegovog dodatka ZenLite, uočena je sigurnosna ranjivost. Radi se o alatu napisanom u programskom jeziku PHP, koji se koristi za stvaranje vlastite web stranice ili bloga. Ranjivost se javlja kao posljedica neispravne provjere ulaznih podataka predanih preko parametra "s" datoteci index.php. Napadači navedenu ranjivost mogu iskoristiti za izvođenje XSS (eng. cross-site scripting) napada, odnosno za umetanje proizvoljnog HTML ili skriptnog koda. Budući da je odgovarajuća nadogradnja poznata, svim se korisnicima savjetuje njezina primjena.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-10-055
Naslov: Uocen propust programskog paketa WordPress
Datum: 2011-10-11
OS: Windows, Mac OS, Solaris, Linux, BSD
Programski paket: WordPress
Tip sigurnosnog problema: XSS napad, pokretanje HTML i skriptnog koda
Rizik: Malen
_______________________________________________________________________________

[1]  Uvod

U radu programskog paketa WordPress, odnosno u njegovom dodatku ZenLite, uocen je 
sigurnosni nedostatak.

WordPress je besplatni alat, napisan u programskom jeziku PHP, koji se koristi za stvaranje vlastite web stranice ili bloga. Njegov dodatak ZenLite sluzi za izradu minimalistickih web stranica koje sadrze unaprijed definirani horizontalni izbornik. 

Vise informacija o spomenutom paketu dostupno je na sljedecim web adresama:

Wordpress: 
http://wordpress.org/

ZenLite:
http://wordpress.org/extend/themes/zenlite

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Ranjivost uocena u radu programskog paketa Wordpress, odnosno njegovog dodatka 
ZenLite, napadacima omogucuje izvodjenje XSS (eng. cross-site scripting) napada.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na inacicu 4.4.  

-------------------------------------------------------------------------------

[4]  Analiza

Ulazni podaci predani preko parametra "s" datoteci index.php nisu ispravno provjereni 
prije vracanja korisniku. To moze biti iskoristeno za umetanje proizvoljnog HTML 
ili skriptnog koda u korisnikovom pregledniku u kontekstu posebno oblikovane web 
stranice.

Ranjivost je potvrdjena u inacici 4.3, no postoji mogucnost da i starije inacice sadrze
istu ranjivost.
-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustu otkrio je Sitewatch.

Tekst izvorne preporuke nalazi se na sljedecoj web adresi:

https://sitewat.ch/en/Advisories/12

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________