TeknoCerdas.com – Salam cerdas untuk kita semua. Terdapat celah XSS pada WordPress plugin All in One SEO Pack. Dilansir dari Wordfence, sebuah layanan premium untuk security WordPress menyatakan bahwa plugin 2 juta instalasi plugin ini rawan dari serangan XSS. Celah XSS adalah kepanjangan dari Cross-Site Scripting (XSS).
Wordfence melabeli celah keamanan XSS pada plugin All in One SEO Pack ini dengan tingkat medium. Versi yang terkena dampak dari celah keamanan ini adalah All in One SEO Pack versi dibawah <= 3.6.1.
Wordfence menemukan celah keamanan ini pada 10 Juli 2020. Kemudian menghubungi pengembang plugin tersebut pada hari yang sama. Lima hari kemudian tepatnya 15 Juli 2020 pengembang mengeluarkan Patch atau perbaikan pada versi 3.6.2.
Semua pengguna plugin All in One SEO Pack disarankan untuk segera melakukan update ke versi terbaru agar mendapat perbaikan dari celah keamanan ini.
Cara Kerja Celah XSS pada Plugin
Celah XSS adalah sebuah celah keamanan dimana penyerang dapat memasukkan sebuah kode sehingga kode tersebut dieksekusi oleh browser pengguna lain yang membuka website yang ditarget.
Dalam kasus celah XSS pada WordPress plugin All in One SEO Pack ini seorang editor dapat memasukkan kode yang tidak aman saat memasukkan data metadata seperti judul dan deskripsi. Ketika metadata ini ditampilkan pada halaman All Posts tidak ada filter sehingga apa yang user masukkan langsung ditampilkan.
Sebagai contoh jika dimasukkan kode dibawah ini pada meta deskripsi maka ketika editor lain melihat halaman All Posts maka kode Javascript tersebut ikut dieksekusi.
Celah keamanan ini mungkin tidak terlalu berpengaruh bagi solo editor. Namun bagi instalasi WordPress yang memiliki banyak editor maka terdapat kesempatan untuk menjalankan XSS ini pada editor lain ketika mereka membuka halaman All Posts.
Jika sebuah instalasi WordPress menyediakan Guest Post maka itu adalah sasaran utama bagi penyerang untuk mencoba eksploitasi celah keamanan ini. Karena penyerang tidak perlu post mereka di-approve untuk menjalakan serangan XSS ini. Penyerang hanya butuh Administrator untuk melihat halaman All Posts maka kode otomatis dieksekusi ketika post ditampilkan pada daftar.
