Plugin WordPress oleh Astra Theme telah memperbarui kerentanan XSS yang dapat menyebabkan pengambilalihan website dan serangan terhadap pengunjung website.
Starter Templates — Elementor, Gutenberg & Beaver Builder Templates plugin oleh Astra Theme mengandung kerentanan yang mempengaruhi kurang lebih satu juta website. Eksploitasi memungkinkan penyerang untuk mengunggah skrip berbahaya, melakukan pengambilalihan websitesecara total, dan menyerang pengunjung website.
Template Pemula — Template Elementor, Gutenberg & Beaver Builder
Plugin Starter Templates diterbitkan oleh Brainstorm Force, pembuat tema WordPress Astra yang sangat populer. Plugin ini memungkinkan pengguna untuk menggunakan lebih dari 280 template WordPress yang membantu mempercepat dalam pembuatan website.
Template ini dibuat agar kompatibel dengan Elementor, Gutenberg, Brizy dan Beaver Builder dan Astra Theme. Plugin ini dipasang di lebih dari satu juta situs web.
Kerentanan Scripting Lintas Situs Tersimpan (XSS)
Kerentanan Plugin Starter Templates oleh Brainstorm Force ini ditemukan oleh peneliti keamanan dari Wordfence. Plugin mengandung jenis kerentanan yang memungkinkan penyerang mengunggah skrip berbahaya yang disimpan didalam server website.
Proyek Keamanan Aplikasi Web Terbuka (OWASP) menjelaskan keseriusan jenis kerentanan XSS ini di situs website mereka:
“Serangan menggunakan skrip yang dimasukkan dan disimpan secara permanen di server target, seperti di database, di forum pesan, log pengunjung, kolom komentar, dll.
Korban kemudian mengambil skrip berbahaya dari server ketika meminta informasi yang disimpan.”
Menurut laporan oleh Wordfence:
“Seorang penyerang dapat membuat dan menghosting blok yang berisi JavaScript berbahaya di server yang mereka kendalikan, dan kemudian menggunakannya untuk menimpa postingan atau halaman apa pun.
Setiap posting atau halaman yang telah dibuat dengan Elementor, termasuk halaman yang diterbitkan, dapat ditimpa oleh blok yang diimpor, dan JavaScript berbahaya di blok yang diimpor akan dieksekusi di browser pengunjung mana pun ke halaman tersebut.
Ini dapat digunakan untuk mengarahkan pengunjung situs ke alamat website berbahaya, membajak sesi administrator untuk membuat administrator baru dan menambahkan ‘back door’ ke dalam website untuk mengambil alih situs tersebut.”
Plugin Template Pemula Diperbaiki
Penerbit plugin Starter Templates diberitahu oleh Wordfence tentang kerentanan dan melakukan perbaikan dan pembaruan pada versi 2.7.1.
Changelog terbaru plugin Starter Templates telah memperbaiki problem tersebut:
v2.7.1 – 7-Oktober-2021
– Peningkatan Keamanan: Validasi URL situs sebelum memproses permintaan impor.
– Peningkatan Keamanan: Memperbarui izin unggah file yang benar sebelum mengimpor gambar.
Log perubahan diterbitkan oleh Brainstorm Force merupakan pertanda bahwa pembuat plugin tersebut berkualitas dan terbuka dalam masalah keamanan.
Wordfence merekomendasikan agar semua pengguna yang menggunakan plugin ini memperbarui ke versi terbaru 2.7.5 karena versi terbaru ini juga berisi perbaikan bug penting.
