Atualize esta semana
Stape Conversion Tracking · plugin de rastreamento de conversões
Vulnerável: antes da 2.3.11Seguro: 2.3.11 ou superior
Um visitante sem login pode usar o site para acessar endereços internos do servidor e fazer o seu domínio exibir conteúdo preparado por ele, inclusive um código que roda no navegador de quem abre o link.
Você mesmo
- Atualizar o Stape Conversion Tracking para a 2.3.11 ou mais recente.
- Se não usa o recurso de proxy do Stape, desativá-lo nas configurações do plugin.
Seu dev ou hospedagem
- Revisar nos logs requisições ao proxy do plugin com subcaminhos incomuns (../, 127.0.0.1, 169.254.169.254, localhost).
- Bloquear no firewall de saída do servidor o acesso do PHP a endereços internos e ao serviço de metadados da nuvem.
Detalhes técnicos: Nas versões 2.3.0 a 2.3.10, o Stape Conversion Tracking não valida o subcaminho acrescentado ao endpoint de proxy same-origin do plugin. Isso permite SSRF sem login, inclusive contra loopback e hosts internos, e XSS: o corpo e o tipo da resposta são devolvidos pela própria origem do site, sem os cabeçalhos de segurança. CVSS 7.1 (exige interação da vítima para o XSS); sem relato de exploração ativa. Corrigido na 2.3.11.