HubSpot WordPress插件存在漏洞

WPScan和政府国家漏洞数据库发布通知，称在HubSpot WordPress插件中发现一个漏洞。该漏洞使该插件的用户受到服务器端请求伪造的攻击。

WPScan 漏洞报告

WPScan的安全研究人员发表了以下报告。

“HubSpot < 8.8.15 – Contributor+ Blind SSRF

说明

该插件没有验证给代理REST端点的代理URL，这可能允许具有编辑_posts能力的用户（默认为贡献者及以上）执行SSRF攻击”

服务器端请求伪造（SSRF）漏洞

这个漏洞要求贡献者级别的用户登录后才会发生暴露。

非营利性的开放网络应用安全项目（OWASP）是一个致力于软件安全的全球性组织，SSRF漏洞可能导致本不应该暴露的内部服务被暴露。

根据OWASP的说法。

“在服务器端请求伪造（SSRF）攻击中，攻击者可以滥用服务器上的功能来读取或更新内部资源。

攻击者可以提供或修改在服务器上运行的代码将读取或提交数据的URL，通过仔细选择URL，攻击者可能能够读取服务器配置，如AWS元数据，连接到内部服务，如http启用的数据库，或对不打算暴露的内部服务执行帖子请求。”

不应该被暴露的服务是：

“云服务器元数据
数据库HTTP接口
内部REST接口
文件 – 攻击者可能能够使用<file://>URI读取文件”

HubSpot WordPress插件

HubSpot WordPress插件被超过20万个出版商使用。它提供CRM、即时聊天、分析和电子邮件营销等相关功能。

WPScan发现的这个漏洞指出，它在8.8.15版本中得到了修复。

然而，记录软件中更新内容的更新日志显示，HubSpot WordPress插件收到了额外的更新，以修复其他漏洞。

下面是根据官方更新日志的更新列表，按顺序从最早的更新开始。

= 8.8.15 (2022-04-07) = * 修复与代理URL有关的安全问题 

= 8.9.14 (2022-04-12) = * 修复与表单输入有关的安全问题 

= 8.9.20 (2022-04-13) = * 修复与净化输入有关的安全问题

虽然安全公司WPScan和国家漏洞数据库指出该漏洞在8.8.15版本中被修复，但根据HubSpot插件的更新日志，一直到8.9.20版本都有进一步的安全修复。

因此，我认为谨慎的做法是将HubSpot插件至少更新到8.9.20版本，尽管HubSpot WordPress插件的绝对最新版本，截至本文写作时，是8.11.0版本。