今週のダイジェストでは、以下の内容をご紹介します。Proは、それぞれ無料版とプロ版のACFプラグインで、200万以上のアクティブインストールを誇る、高い人気を誇るWordPressプラグインです。このプラグインは、WordPressの編集画面でコンテンツフィールドを簡単に追加・管理することができます。Instanceで自分のWordPressウェブサイトをスピンアップする方法については、こちらをお読みください。アクセスさせることで、脆弱なウェブサイト上に悪意のあるスクリプトを注入することができます。被害者が特権を持つユーザーである場合、攻撃者はクッキーやセッショントークンなどの機密情報を盗み出し、特権を昇格させる可能性があります。この脆弱性は、関数ハンドラーadmin_body_classにあり、変数に渡されるユーザー入力を適切にサニタイズしません。XSSペイロードのような有害なコードを、ボディクラスの文字列を含む変数に直接連結させることができます。ミティゲーションこの脆弱性は、プラグインのバージョン6.1.6で修正されています。プラグインを最新のバージョンにアップデートすることを強くお勧めします。XSS背景cPanelは、ウェブサイトの所有者、管理者、ホスティングプロバイダーが、ウェブサイトやホスティングアカウントの様々な側面を管理・制御するために使用する、広く使われているウェブホスティングコントロールパネルです。LinuxベースのGUIで、ウェブサイトのファイル管理、電子メールアカウントの作成、データベースの設定、アプリケーションのインストール、ドメインとサブドメインの管理、その他さまざまな管理作業を簡単に行うことができます。ヴァルネラビリティCVE-2023-29489として追跡されている脆弱性は、11.109.9999.116以前のバージョンのcPanelに存在する反射型XSSです。この脆弱性は、XSSコンテンツを含むIDで無効なWebコールが呼び出された場合に発生します。この脆弱性は、cPanelのコア機能を提供するcpsrvdバイナリに存在します。これは、cpsrvdエラーページによって、ユーザーが提供するコンテンツの不適切な検証を実行します。エラーページにXSSコンテンツが含まれている場合、XSS攻撃が引き起こされます。この脆弱性は、認証を必要とせず、外部に公開されていない管理ポートにも影響を及ぼします。この問題を解決するには、これらのバージョンにアップグレードすることが推奨されます。書かれた軽量なWebアプリケーションフレームワークです。プログラミング言語を活用することで、Webアプリケーションを構築するシンプルで柔軟な方法を提供します。アプリケーションを構成する特定の方法を押し付けないことで、シンプルさと拡張性に重点を置いています。Flaskには豊富な拡張機能のエコシステムがあり、開発者は自分のプロジェクトに必要なコンポーネントを選択することができます。ヴァルネラビリティこの脆弱性は、CVE-2023-30861として追跡されています。影響を受けるのは、Flaskパッケージのバージョン2.3.0、2.3.1、2.2.4以下のバージョンです。あるクライアントに向けたデータを含むレスポンスが、プロキシによってキャッシュされ、別のクライアントに送信される可能性がある、情報漏洩の可能性がある脆弱性である。プロキシのCookieの扱い方によっては、意図しないクライアントにセッションCookieを送信する可能性があります。この脆弱性には、特定の条件を満たすことが必要です:FlaskのWebアプリケーションの前に置かれたキャッシュプロキシは、Cookieを取り除いたり、Cookieを含むレスポンスを無視したりはしません。Webアプリケーションは、session.permanentフィールドをTrueに設定します。Webアプリケーションは、リクエスト中のどの時点でも、セッションにアクセスしたり、変更したりすることはありません。SESSION_REFRESH_EACH_REQUESTが有効になっており、これがデフォルトの設定です。ウェブアプリケーションが、ページをキャッシュしないことを指定するCache-Controlヘッダを設定していない。プロキシがSet-Cookieヘッダもキャッシュする場合、クライアントのセッションクッキーを意図しないクライアントに送信する可能性もあります。この脆弱性は、脆弱なバージョンのFlaskがVary.Cookieヘッダを設定していないために発生します:Cookieヘッダが設定されていないため、アクセスや変更がない状態でセッションが更新された場合に発生します。ミティゲーションこの脆弱性は、Flaskのパッケージバージョン2.2.5および2.3.2で修正されました。これらのバージョンにアップグレードすることを推奨します。こちらもどうぞ...シャドーAPIについて暗中模索?2024年10月31日アレックス・レオンシャドーAPIは通常、APIを開発する際に考えるリスクではありません。実例を見て、APIがもたらす脅威を理解しましょう。セキュリティ緩んだ唇はウェブサイトも沈める2024年10月21日アレックス・レオンこのブログでは、技術スタックのバージョン番号の公開がいかに深刻な脆弱性につながるか、そしてセキュリティを強化するために何ができるかについて掘り下げていく。セキュリティ非生産サブドメインに注意を払う2024年10月17日アレックス・レオンセキュリティ・チームは、組織のメインのプロダクション・ドメインに注目しがちです。本番用以外のサブドメインに注意を払うことが重要なのかを学んでください。コメントを残すコメントをキャンセルあなたのメールアドレスは公開されません。必須項目には*印がついています。webサイトをこのブラウザに保存します。LLC.無断複写転載を禁じます。