mitigation-cve-2019-9787

POC

1. simple xss :
2. simple csrf : code du site de l'attaquant --- https://github.com/kuangting4231/wordpress.github.io
3. csrf exécution de code à distance : code du site de l'attaquant --- https://github.com/kuangting4231/assigment1.github.io

mitigation

1. corriger le défaut logique dans le processus de nettoyage pour les administrateurs. Ajouter les deux lignes dans /wp-admin/includes/ajax-actions.php et /wp-includes/comment.php (détail dans le rapport) remove_filter( 'pre_comment_content', 'wp_filter_post_kses' ); add_filter( 'pre_comment_content', 'wp_filter_kses' );
2. http-only Pour les cookies de session gérés par PHP, le flag est défini soit de manière permanente dans php.ini Manuel PHP sur HttpOnly via le paramètre :

session.cookie_httponly = True

3. défense basée sur le hachage Le jeton de validation CSRF n'a pas été implémenté dans WordPress car, s'il l'était, cela gênerait les fonctionnalités de trackbacks et pingbacks de WordPress. Le serveur ne peut pas distinguer une requête CSRF illégale d'une requête légitime de PINGBACK/TRACEBACK ; WordPress accepte automatiquement un commentaire sans jeton CSRF correct comme une requête de PINGBACK et TRACEBACK et filtre ce commentaire avec un filtre de liste blanche.

   Pour défendre cette vulnérabilité CSRF, nous ajoutons un nouveau champ dans le formulaire appelé hashnonce pour vérifier que le commentaire est envoyé par un administrateur. L'admin signe une signature sur la valeur du champ commentaire avec son cookie.

   La signature de la valeur du champ commentaire utilise md5 pour générer la valeur de hachage (voir graphique).