Blog Gratisan

Kerentanan Plugin WordPress HubSpot

Halo semua, kali ini kita akan membahas tentang Kerentanan Plugin WordPress HubSpot
. Seperti apa sih pembahasannya? Yuk simak!

WPScan dan Database Kerentanan Nasional Pemerintah Amerika Serikat menerbitkan pemberitahuan kerentanan yang ditemukan di plugin WordPress HubSpot. Kerentanan membuat pengguna plugin terkena serangan Pemalsuan Permintaan Sisi Server.

Laporan Kerentanan WPScan

Peneliti keamanan di WPScan menerbitkan laporan berikut:

“HubSpot < 8.8.15 – Kontributor+ Blind SSRF

Keterangan

Plugin tidak memvalidasi URL proxy yang diberikan ke titik akhir REST proxy, yang memungkinkan pengguna dengan kemampuan edit_posts (dengan kontributor default ke atas) untuk melakukan serangan SSRF”

Kerentanan Pemalsuan Permintaan Sisi Server (SSRF)

Kerentanan ini mengharuskan pelanggan tingkat kontributor masuk untuk eksposur terjadi.

Open Internet Software Safety Venture (OWASP) nirlaba, sebuah organisasi di seluruh dunia yang didedikasikan untuk keamanan perangkat lunak, kerentanan SSRF dapat mengakibatkan paparan layanan inner yang tidak dimaksudkan untuk diekspos.

Menurut OWASP:

“Dalam serangan Server-Facet Request Forgery (SSRF), penyerang dapat menyalahgunakan fungsionalitas di server untuk membaca atau memperbarui sumber daya inner.

Penyerang dapat menyediakan atau memodifikasi URL tempat kode yang berjalan di server akan membaca atau mengirimkan knowledge, dan dengan memilih URL dengan hati-hati, penyerang mungkin dapat membaca konfigurasi server seperti metadata AWS, terhubung ke layanan inner seperti http diaktifkan database atau melakukan permintaan posting terhadap layanan inner yang tidak dimaksudkan untuk diekspos.”

Layanan yang tidak seharusnya diekspos adalah:

  • “Meta-data server cloud
  • Antarmuka HTTP foundation knowledge
  • Antarmuka REST inner
  • File – Penyerang mungkin dapat membaca file menggunakan URI”

Plugin WordPress HubSpot

Plugin HubSpot WordPress digunakan oleh lebih dari 200.000 penerbit. Ini menyediakan CRM, obrolan langsung, analitik, dan kemampuan terkait pemasaran electronic mail.

Kerentanan yang ditemukan oleh WPScan mencatat bahwa itu telah diperbaiki di versi 8.8.15.

Namun, changelog yang mendokumentasikan apa yang diperbarui dalam perangkat lunak menunjukkan bahwa plugin HubSpot WordPress menerima pembaruan tambahan untuk memperbaiki kerentanan lainnya.

Berikut daftar replace menurut changelog resmi, urut mulai dari replace terlama:

= 8.8.15 (2022-04-07) =
* Repair safety concern associated to proxy URL

= 8.9.14 (2022-04-12) =
* Repair safety concern associated to type inputs

= 8.9.20 (2022-04-13) =
* Repair safety concern associated to sanitizing inputs

Sementara perusahaan keamanan WPScan dan Nationwide Vulnerability Database menyatakan bahwa kerentanan telah diperbaiki di versi 8.8.15, menurut changelog plugin HubSpot, ada perbaikan keamanan lebih lanjut hingga versi 8.9.20.

Jadi sebaiknya saya memperbarui plugin HubSpot ke setidaknya versi 8.9.20, meskipun versi terbaru mutlak dari plugin WordPress HubSpot, pada saat tulisan ini dibuat, adalah versi 8.11.0.

kutipan

Baca Laporan Kerentanan WPScan

HubSpot < 8.8.15 – Kontributor+ Blind SSRF

Baca Laporan Foundation Information Kerentanan Nasional

Detail CVE-2022-1239

Tinjau Changelog Plugin HubSpot WordPress

Changelog Plugin WordPress HubSpot


Semoga bermanfaat.

Leave a Reply