WordPress4.8.1版本存在XSS跨站攻击漏洞

2017年10月19日，阿里云安全威胁情报系统监测到WordPress 官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞，通过该漏洞，攻击者可以在受影响网站的评论区写下包含恶意代码的留言，当该留言页面被打开时，其中的恶意代码会执行，导致该网站的权限，插件等被更改，甚至被完全控制，安全风险为高危。
阿里云安全建议站长们关注，并尽快开展自查工作，及时更新WordPress。
具体详情如下:

漏洞编号:
暂无
漏洞名称:
WordPress储存型XSS漏洞
官方评级:
高危
漏洞描述:
该漏洞影响WordPress4.8.1版本，攻击者可以未授权通过WordPress的评论注入JavaScript攻击代码。评论被查看的时候，JavaScript就触发了。如果管理员登陆查看评论触发后，可能导致攻击者进入后台通过主题或插件编辑从而命令执行控制整个服务器，安全风险为高危
漏洞利用条件和方式:
远程利用
PoC状态:
目前PoC已经公开
漏洞影响范围:
受影响的版本 WordPress 4.8.1
不受影响的版本 WordPress 4.8.2
漏洞检测:
开发或运维人员排查是否使用了受影响版本范围内的WordPress。
漏洞修复建议(或缓解措施):

目前已经发布最新版本4.8.2 ，建议用户登录到面板点击“更新升级"修复该漏洞；

用户进入WordPress后台页面，选择“仪表盘”，可一键更新至WordPress最新版本。

4.8.1版本WordPress用户若不想升级，可以关闭所有文章页面的评论；

打开所用主题的function.php文件，将以下代码添加进文件中，保存后重新上传到服务器。

//禁用页面的评论功能
function disable_page_comments( $posts ) {
if ( is_page()) {
$posts[0]->comment_status = 'disabled';
$posts[0]->ping_status = 'disabled';
}
return $posts;
}
add_filter( 'the_posts', 'disable_page_comments' );

使用阿里云服务器，启用阿里云安全WAF可 支持该漏洞防御。购买阿里云服务器同时可领取幸运券享受优惠活动

阿里云服务器优惠券领取：点击领取

小科普：
存储型XSS漏洞是什么?
存储型XSS漏洞具有持久化，被插入的恶意代码是存储在服务器中的，如:在个人信息或发表文章等地方，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行，这种存储类型的XSS漏洞安全风险很高，容易造成蠕虫，盗窃cookie等。
反射型XSS漏洞是什么?
反射型XSS，它具有非持久化特性，需要欺骗用户自己去点击（用户交互）链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。