一个流行的 WordPress 反恶意软件插件被发现具有反射的跨站点脚本漏洞。这是一种漏洞，攻击者可以利用它破坏受影响网站的管理员级别用户。

受影响的 WordPress 插件

发现包含该漏洞的插件是 Anti-Malware Security 和 Brute-Force Firewall，被超过 200,000 个网站使用。

Anti-Malware Security and Brute-Force Firewall 是一个插件，可将网站作为防火墙（以阻止传入威胁）和安全扫描程序进行保护，以检查后门黑客和数据库注入形式的安全威胁。

高级版本可以保护网站免受试图猜测密码和用户名的暴力攻击，并防止 DDoS 攻击。

反射式跨站脚本漏洞

发现此插件包含允许攻击者发起反射跨站点脚本（反射 XSS）攻击的漏洞。

在这种情况下，反映的跨站点脚本漏洞是 WordPress 网站没有正确限制可以输入到站点中的内容。

未能限制（清理）正在上传的内容本质上就像打开网站的前门并允许上传几乎所有内容。

黑客通过上传脚本并让网站反映它来利用此漏洞。

当具有管理员级别权限的人访问攻击者创建的受损 URL 时，该脚本将使用存储在受害者浏览器中的管理员级别权限激活。

关于反恶意软件安全和蛮力防火墙的 WPScan 报告描述了该漏洞：

“该插件在将 QUERY_STRING 输出回管理页面之前不会对其进行清理和转义，从而导致浏览器中出现不编码字符的反射跨站点脚本”

美国政府国家漏洞数据库尚未为此漏洞分配严重程度评分。

该插件中的漏洞称为反射型 XSS 漏洞。

还有其他类型的 XSS 漏洞，但这些是三种主要类型：

• 存储跨站脚本漏洞（Stored XSS）
• 盲目的跨站脚本（Blind XSS）
• 反射型 XSS

在存储型 XSS 中，Blind XSS 漏洞中，恶意脚本存储在网站本身。这些通常被认为是更高的威胁，因为更容易让管理员级别的用户触发脚本。但这些不是在插件中发现的那种。

在插件中发现的反射型 XSS 中，必须诱使具有管理员级别凭据的人单击链接（例如来自电子邮件），然后该链接会反映来自网站的恶意负载。

非营利性开放 Web 应用程序安全项目 (OWASP)描述了一个反射型 XSS，如下所示：

“反射攻击是指注入的脚本从 Web 服务器反射出来的攻击，例如错误消息、搜索结果或任何其他响应，其中包括作为请求的一部分发送到服务器的部分或全部输入。

反射攻击通过其他途径传递给受害者，例如电子邮件或其他网站。”

建议更新到版本 4.20.96

通常建议在更新任何插件或主题之前备份您的 WordPress 文件。

Anti-Malware Security and Brute-Force Firewall WordPress 插件版本 4.20.96 包含对该漏洞的修复。

建议插件用户考虑将其插件更新到版本 4.20.96。