Только представьте: вы зашли на zara интернет магазин и выбираете себе одежду. Но можете ли вы быть уверены в том, что это безопасно, и сайт не инфицирован? Вопрос, конечно, непростой. На неделе вышло обновление популярного сайтового движка WordPress. Обновленный WP получил индекс 4.0.1. Помимо текущих усовершенствований в обновлении, разработчики исправили критически опасную XSS-уязвимость, которая могла открыть хакерам доступ к управлению сайтом на этой CMS.
Проблема состояла в разрешении WordPress оформления комментариев с включением некоторых HTML-тегов. И хотя разработчики движка пытались как-то ограничить количество разрешенных тегов и предусмотрели дополнительную проверку кода, однако иногда такая защита не срабатывала, и браузер исполнял некорректный HTML-код, что позволяло кибермошенникам вставлять вредоносную нагрузку в комментарии, осуществляя тем самым XSS-атаку против уязвимого ресурса на WordPress. Одним из видимых решений, предотвращающих подобные ситуации, могло стать внедрение некой стандартизированной библиотеки HTML-тегов вроде имеющейся HTML Purifier.
Но разработчики часто отказываются использовать последнюю из-за ее «тяжеловесности». Однако в HTML Purifier имеется целый набор встроенных защитных средств, который нормализует код HTML, уничтожая там некорректные элементы. Кроме этого, Purifier имеет гибкий конфигурационный файл, а вот решение, примененное в WordPress, полагается исключительно на регулярные коды, не всегда гарантирующие приемлемый уровень кибербезопасности.
