Il Cross-site scripting, universalmente conosciuto con l’acronimo XSS, è una delle vulnerabilità di sicurezza più diffuse e pericolose del web. Si manifesta quando un’applicazione o una pagina web accetta dati inseriti dagli utenti senza verificarli adeguatamente, permettendo a un malintenzionato di iniettare script malevoli (solitamente scritti in linguaggio JavaScript) all’interno di pagine legittime visualizzate successivamente da altri visitatori ignari.
La pericolosità di questo attacco risiede nel fatto che sfrutta la fiducia che il browser del visitatore nutre nei confronti del sito web che sta navigando. Quando il server invia al browser la pagina contenente il codice nocivo inserito in precedenza dall’hacker, il programma di navigazione non può distinguere lo script malevolo da quello lecito e lo esegue automaticamente. Attraverso questa esecuzione, l’aggressore può intercettare i cookie di sessione, sottrarre credenziali riservate o dirottare l’utente verso portali truffaldini.
In un sito realizzato con WordPress, una vulnerabilità XSS può annidarsi nel modulo dei commenti o nella barra di ricerca interna se un plugin non è stato programmato con cura. Se un malintenzionato invia un testo contenente istruzioni JavaScript nel campo di un commento e il sistema lo salva senza filtrarlo, ogni volta che un lettore o l’amministratore del sito aprirà quell’articolo, lo script entrerà in azione, potendo rubare il cookie di login dell’amministratore e consentire l’accesso non autorizzato alla bacheca.
L’errore più comune tra chi programma o personalizza un tema consiste nel fidarsi ciecamente dei dati inviati dai formulari, omettendo la sanificazione delle informazioni prima di registrarle nel database e la loro ripulitura visiva (escaping) prima di stamparle a schermo. Un altro equivoco diffuso è credere che l’attacco danneggi direttamente i file fisici del server di hosting: in realtà la minaccia colpisce in primo luogo i dispositivi e i dati personali dei visitatori.
Difendere la tua installazione WordPress dal rischio di attacchi XSS richiede pochi accorgimenti fondamentali ma irrinunciabili. Mantieni sempre aggiornato il core di WordPress, il tema e tutti i plugin installati, scarica estensioni esclusivamente da sviluppatori affidabili e attiva un firewall applicativo capace di riconoscere e bloccare sul nascere i tentativi di iniezione di codice prima che possano raggiungere il tuo sito.
Fonte: it.wikipedia.org