Falle gravi per tre plugin WordPress: 400 mila siti a rischio

Falle gravi per tre plugin WordPress: 400 mila siti a rischio

Sono già disponibili gli aggiornamenti: è consigliato installarli immediatamente per evitare il rischio di essere compromessi

di pubblicata il , alle 15:21 nel canale Sicurezza
 

Nei giorni scorsi sono state portate alla luce alcune gravi vulnerabilità di tre plugin WordPress - InfiniteWP, WP Time Capsule e WP Database Reset - che complessivamente sono installati su oltre 400 mila siti web. Consigliamo a tutti coloro i quali amministrano siti WordPress che fanno uso di questi plugin di verificare immediatamente l'aggiornamento alla versione più recente di ciascuno, che risolve le falle.

La vulnerabilità a più alto impatto riguarda Infinite WP Client, un plugin che permette di gestire più siti web da un singolo server. La falla permette a chiunque di effettuare log-in in un account con privilegi di amministratore senza alcuna credenziale, con la conseguente possibilità di compiere qualsiasi genere di azione: dal cancellare contenuti, all'aggiungere nuove utenze fino a condurre qualsivoglia tipo di attacco o attività dannosa.

Per sfruttare la vulnerabilità è sufficiente conoscere solamente il nome utente di un account valido e includere un pacchetto opportunamente costruito in una richiesta POST inviata al sito vulnerabile. Chiunque usi Infinire WP Client in versione 1.9.4.4 e precedenti dovrebbe aggiornare immediatamente alla versione 1.9.4.5. Infinite WP Client è installato su oltre 300 mila siti web. Wordfence approfondisce il problema.

Il problema è simile per il plugin WP Time Capsule, che ha lo scopo di consentire una più agevole gestione dei backup del sito web su cui è installato. Anche in questo caso esiste la possibilità di scavalcare l'autenticazione permettendo ad un attaccante di effettuare il log-in come amministratore. In questo caso includendo una stringa opportuna in una richiesta POST l'attaccante può ottenere un elenco degli account di amministrazione ed effettuare automaticamente il log-in con il primo della lista. Il bug è stato risolto nella versione 1.21.16 e anche in questo caso si esortano gli amministratori di siti WordPress che usano il plugin di aggiornare immediatamente. WP Time Capsule è installato su oltre 200 mila siti web. WebARX dettaglia la vulnerabilità.

Per quanto riguarda il plugin WP Database Reset le vulnerabilità sono due: una permette a chiunque anche senza autenticazione di resettare qualsiasi tabella del database al suo stato originario. In questo caso il problema si origina dal fatto che la funzione di reset non è protetta da controlli standard o nonce di sicurezza. Chi la sfruttasse potrebbe causare una perdita completa di dati o un reset del sito alle impostazioni WordPress di default. La seconda falla può invece causare una situazione di cosiddetto "privilege escalation" e permette a qualsiasi utente autenticato, anche con diritti minimi, di ottenere privilegi di amministrazione ed estromettere altri utenti. In questo caso si consiglia l'aggiornamento alla versione 3.15 che risolve entrambe le vulnerabilità. WP Database Reset è installato su 80 mila siti. L'analisi è anche in questo caso di Wordfence.

0 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^