Il 7 gennaio, due distinti team di ricerca hanno identificato vulnerabilità in tre WordPress plugin che hanno interessato complessivamente 400,000 siti web.
Ricercatori di sicurezza informatica di WebARX ha avvisato lo sviluppatore di InfiniteWP Client e WP Time Capsule delle vulnerabilità nei loro plugin. Mentre Wordfence ha trovato una vulnerabilità simile nel ripristino del database WP.
Secondo questi ricercatori, alcuni problemi logici nel codice dei plugin hanno reso facile per chiunque accedere agli account amministratore senza password. Nello specifico, questo problema riguarda le versioni di
- InfiniteWP sotto la 1.9.4.5
- Versioni di WP Time Capsule precedenti alla 1.21.16
- Reimpostazione del database WP al di sotto di 3.15.
Vulnerabilità del client InfiniteWP
Come amministratore, Cliente InfiniteWP consente di utilizzare un singolo server per gestire più siti web WP.
Pertanto, qualsiasi aggressore con codifica JSON e Base64 può utilizzare un payload di richiesta POST per accedere con il solo nome utente di un amministratore. In questo modo, sarà facile compiere qualsiasi azione dannosa, inclusa l'aggiunta o l'eliminazione di account.
L'immagine sottostante mostra il codice vulnerabile del client InfiniteWP.
La libreria dei plugin WP segnala che InfiniteWP Client è attivo su oltre 300,000 siti web. Questa vulnerabilità interessa quindi il 75% di tutti i siti web esposti.
Vulnerabilità di WP Time Capsule
Quando crei nuovi contenuti o aggiungi nuovi codici ai tuoi siti web, WP Time Capsule Crea voci di database e backup per i tuoi file. In questo modo, salva automaticamente tutte le modifiche apportate al tuo sito WP, così come quelle degli oltre 20,000 domini che utilizzano il plugin.
Un aggressore può sfruttare WP Time Capsule nelle versioni precedenti alla 1.21.16 inserendo una stringa contraffatta in una richiesta POST non elaborata. L'obiettivo è dirottare tutti gli account amministratore disponibili ed essere il primo amministratore della lista ad accedere.
L'immagine sottostante mostra la versione vulnerabile di WP Time Capsule.
Vulnerabilità di WP Database Reset
Ripristino database WP è uno strumento utile per gli amministratori che eseguono test sui loro siti web. Questo plugin ti consente di ripristinare le tabelle del database del tuo sito web allo stato di una versione appena installata WordPress. Così puoi sempre ricominciare da capo senza dover reinstallare WordPress.
Il plugin presenta due vulnerabilità. Una vulnerabilità consente agli utenti non autenticati di ripristinare le tabelle del database allo stato iniziale. Un'azione che può portare al ripristino totale del sito, al suo controllo o a entrambi.
Mentre la seconda vulnerabilità consente agli utenti autenticati di assegnare ruoli amministrativi al proprio account indipendentemente dal livello di autorizzazione iniziale, escludendo così tutti gli altri utenti.
L'aggiornamento che risolve entrambe le vulnerabilità di questo plugin è la versione 3.15, che può aiutare gli 80,000 siti web che utilizzano questo plugin.
Le risposte
Quando i ricercatori di WebARX hanno segnalato queste vulnerabilità allo sviluppatore dei primi due plugin, hanno ricevuto una risposta rapida. Lo sviluppatore ha rilasciato un aggiornamento software appena un giorno dopo la segnalazione.
Gli sviluppatori hanno patchato i plugin
- Rimozione di alcune chiamate di funzione
- Modifica dei codici di azione e
- Aggiunta di controlli di autenticità del payload
Gli esperti avvertono che le protezioni firewall non funzioneranno. Pertanto, gli utenti dovrebbero aggiornare immediatamente tutti e tre i plugin alle ultime versioni.
Il tuo host è più vulnerabile del tuo plugin?
I plugin possono presentare vulnerabilità, ma il tuo host del sito potrebbe esporti ad ancora più attacchi. Fino a 41 percento di WordPress site le vulnerabilità provengono dagli host web.
Pertanto, oltre alle patch e agli aggiornamenti dei plugin, è necessario assicurarsi di utilizzare un web host sicuro. Ecco dove HostScore entra in gioco. Ti aiutiamo a monitorare i dati sulle prestazioni degli host del sito web, a capire come le prestazioni del sito ti influenzano e a decidere la soluzione migliore piano di hosting per la tua attività.
Leggi anche
