Autore: La Redazione

01 aprile 2023Ravie LaxmanSicurezza Web / Minacce informatiche

Alcuni autori di minacce sconosciute stanno sfruttando attivamente una vulnerabilità di sicurezza recentemente risolta nel plugin per la creazione di siti web Elementor Pro per WordPress.

Il difetto, descritto come un caso di controllo di accesso non funzionante, ha un impatto sulle versioni 3.11.6 e precedenti. È stato risolto dai responsabili del plugin nella versione 3.11.7 rilasciata il 22 marzo.

“Miglioramento dell’applicazione della sicurezza del codice nei componenti WooCommerce”, afferma l’azienda con sede a Tel Aviv disse nelle sue note di rilascio. Il plugin premium è stimato da utilizzare su oltre 12 milioni di siti.

Lo sfruttamento riuscito di questa falla di elevata gravità consente a un aggressore autenticato di completare l’acquisizione di un sito WordPress con WooCommerce abilitato.

“Ciò consente a un utente malintenzionato di attivare la pagina di registrazione (se disabilitata) e di impostare il ruolo utente predefinito su amministratore in modo da poter creare un account che dispone immediatamente dei privilegi di amministratore”, Patchstack disse in un avviso del 30 marzo 2023.

“Dopodiché, è probabile che reindirizzino il sito a un altro dominio dannoso o carichino un plugin o una backdoor dannosi per sfruttare ulteriormente il sito.”

Accreditato con scoprire e segnalare la vulnerabilità il 18 marzo 2023 è il ricercatore di sicurezza di NinTechNet, Jerome Bruandet.

Patchstack ha inoltre osservato che la falla è attualmente sfruttata in modo improprio da diversi indirizzi IP che intendono caricare file di archivio PHP e ZIP arbitrari.

Si consiglia agli utenti del plugin Elementor Pro di eseguire l’aggiornamento alla versione più recente, la 3.11.7 o 3.12.0, il prima possibile per mitigare potenziali minacce.

L’avviso arriva più di un anno dopo l’ Componenti aggiuntivi essenziali per il plugin Elementor è stata riscontrata una vulnerabilità critica che potrebbe causare l’esecuzione di codice arbitrario su siti web compromessi.

La scorsa settimana, WordPress ha rilasciato aggiornamenti automatici per correggere un altro bug critico nel Plugin di pagamento WooCommerce che consentiva ad aggressori non autenticati di ottenere l’accesso come amministratore a siti vulnerabili.

Nell’episodio 336 del Shared Security Podcast, discutiamo del recente divieto dell’amministrazione Biden sul software antivirus Kaspersky negli Stati Uniti a causa di problemi di sicurezza legati alle sue origini russe. Sottolineiamo anche l’importanza di mantenere tutti i software aggiornati, utilizzando esempi recenti di attacchi alla supply chain che hanno compromesso diversi popolari plugin di WordPress. Unisciti ai conduttori Tom Eston e Scott Wright mentre esaminano questi problemi chiave di sicurezza informatica e sottolineano le misure di sicurezza proattive. Inoltre, scopri perché il co-conduttore Kevin Johnson è assente questa settimana e ricevi gli ultimi aggiornamenti da Aware Much, sponsorizzato da ClickArmor.

Grazie a SquareX per aver sponsorizzato questo episodio! Scopri di più su SquareX su Italiano: https://sqrx.com/

**Link menzionati nello show**

Biden vieta il software antivirus Kaspersky negli Stati Uniti per problemi di sicurezza
https://www.bleepingcomputer.com/news/security/biden-bans-kaspersky-antivirus-software-in-us-over-security-concerns/

Backdoor infiltrato in più plugin di WordPress in un attacco in corso alla supply chain
https://arstechnica.com/security/2024/06/supply-chain-attack-on-wordpress-plugins-affects-as-many-as-36000-sites/

** Guarda questo episodio su YouTube **

** Diventa un sostenitore della sicurezza condivisa **

Ottieni l’accesso esclusivo a episodi senza pubblicità, episodi bonus, ascolta i nuovi episodi prima che vengano rilasciati, accedi al nostro server Discord privato, ricevi un messaggio mensile sullo show e ottieni un codice sconto per il 15% di sconto sul merchandising nello store Shared Security. Supporta lo show per soli $ 3! Diventa un sostenitore oggi stesso! https://patreon.com/SharedSecurity

Ottieni i nostri nuovi adesivi glitterati Shared Security Podcast!
https://sharedsecurity.net/stickers

** Grazie per i nostri sponsor! **

SLNT

Visita slnt.com per scoprire la straordinaria linea di borse Faraday di SLNT e altri prodotti creati per proteggere la tua privacy. Come ascoltatore di questo podcast riceverai il 10% di sconto sul tuo ordine al momento del pagamento utilizzando il codice sconto “sharedsecurity”.

Clicca Armatura

Per scoprire come la “gamification” della formazione sulla consapevolezza della sicurezza può ridurre i rischi informatici correlati al phishing e all’ingegneria sociale e per ottenere una prova gratuita della piattaforma di formazione sulla consapevolezza gamificata di Click Armor, visita: https://clickarmor.ca/sharedsecurity

**Iscriviti e segui il podcast**

Iscriviti su YouTube: https://www.youtube.com/c/SharedSecurityPodcast

Unisciti a noi su Reddit: https://www.reddit.com/r/SharedSecurityShow/

Guarda e iscriviti su Odysee (alternativa a YouTube)
https://odysee.com/@SharedSecurity:c

Seguici su Mastodon: https://infosec.exchange/@sharedsecurity

Seguici su X: https://twitter.com/sharedsec

Visita il nostro sito web: https://sharedsecurity.net

Iscriviti alla tua app podcast preferita: https://sharedsecurity.net/subscribe

Iscriviti alla nostra newsletter via email per ricevere aggiornamenti sul podcast, annunci di concorsi e offerte speciali dai nostri sponsor: https://shared-security.beehiiv.com/subscribe

Lasciaci una valutazione e una recensione: https://ratethispodcast.com/sharedsecurity

Contattaci: https://sharedsecurity.net/contact

Il post Gli Stati Uniti vietano gli attacchi alla supply chain di Kaspersky Antivirus e WordPress Plugin è apparso per la prima volta su Podcast sulla sicurezza condivisa.

*** Questo è un blog sindacato da Security Bloggers Network da Podcast sulla sicurezza condivisa scritto da Tom EstonLeggi il post originale su: https://sharedsecurity.net/2024/07/01/the-us-bans-kaspersky-antivirus-wordpress-plugin-supply-chain-attacks/