Categoria: Wordpress

Oltre un milione di siti Web WordPress sono stati a rischio a causa di un problema critico SQL Injection vulnerabilità scoperta nel popolare plugin LayerSlider.

La falla, CVE-2024-2879, potrebbe consentire ad aggressori non autenticati di estrarre dati sensibili, inclusi gli hash delle password, dai database dei siti web.

Alla vulnerabilità, tracciata con l'identificatore CVE-2024-2879, è stato assegnato un punteggio CVSS di 9,8, classificandola come critica.

Il punteggio Common Vulnerability Scoring System (CVSS) riflette la gravità del rischio, con questo punteggio particolare che indica che la vulnerabilità potrebbe avere un impatto devastante sui siti Web interessati.

La falla di sicurezza è stata segnalata in modo responsabile da un ricercatore di nome AmrAwad attraverso il programma Wordfence Bug Bounty.

AmrAwad ha guadagnato $ 5.500,00, la vincita più alta nella storia del programma.

La scoperta sottolinea l’importanza degli sforzi di collaborazione tra ricercatori di sicurezza e aziende per migliorare la sicurezza del web.

Un recente tweet di Wordfence ha condiviso che è stata rivelata la vulnerabilità SQL Injection nel plug-in LayerSlider.

function ls_get_popup_markup() {

    $id     = is_numeric( $_GET['id'] ) ? (int) $_GET['id'] : $_GET['id'];

    $popup = LS_Sliders::find( $id );

    if( $popup ) {

        $GLOBALS['lsAjaxOverridePopupSettings'] = true;

        $parts  = LS_Shortcode::generateSliderMarkup( $popup );

        die( $parts['container'].$parts['markup'].'<script>'.$parts['init'].'</script>' );

    }

    die();

}

Un plugin WordPress premium denominato LayerSlider, utilizzato in oltre un milione di siti, è vulnerabile all’iniezione SQL non autenticata, richiedendo agli amministratori di dare priorità all’applicazione degli aggiornamenti di sicurezza per il plugin.

LayerSlider è uno strumento versatile per creare slider reattivi, gallerie di immagini e animazioni su siti WordPress, consentendo agli utenti di creare elementi visivamente accattivanti con contenuti dinamici su piattaforme online.

Il ricercatore AmrAwad ha scoperto il difetto critico (punteggio CVSS: 9,8), tracciato come CVE-2024-2879, il 25 marzo 2024 e lo ha segnalato alla società di sicurezza WordPress Wordfence tramite il suo programma bug bounty. Per il suo lavoro responsabile, AmrAwad ha ricevuto una taglia di 5.500 dollari.

La falla, che colpisce le versioni dalla 7.9.11 alla 7.10.0 del plugin, potrebbe consentire agli aggressori di estrarre dati sensibili, come gli hash delle password, dal database del sito, mettendoli a rischio di acquisizione completa o violazione dei dati.

Dettagli tecnici forniti in Il rapporto di Wordfence rivelare che la vulnerabilità esisteva nella gestione del parametro “id” da parte della funzione “ls_get_popup_markup” del plugin.

Questa funzione non riesce a disinfettare correttamente il parametro “id”, consentendo agli aggressori di inserire codice SQL dannoso in query appositamente predisposte, con conseguente esecuzione di comandi.

La struttura delle possibili query limita l'attacco alla blind SQL injection basata sul tempo, il che significa che gli aggressori devono rispettare i tempi di risposta per dedurre i dati dal database.

Nonostante questa limitazione, CVE-2024-2879 consente comunque ad autori malintenzionati di estrarre informazioni dal database del sito senza richiedere alcuna autenticazione sul sito, inclusi hash delle password e informazioni sensibili dell'utente.

Wordfence spiega che il problema è ulteriormente aggravato perché le query non vengono preparate utilizzando la funzione “$wpdb->prepare()” di WordPress, che impedisce l'iniezione SQL garantendo che l'input dell'utente venga ripulito prima di essere utilizzato nelle query del database.

Il creatore del plugin, Kreatura Team, è stato immediatamente informato del difetto e ha subito preso atto della segnalazione. Gli sviluppatori hanno rilasciato un aggiornamento di sicurezza il 27 marzo 2024, meno di 48 ore dopo il contatto iniziale.

Si consiglia a tutti gli utenti di LayerSlider di eseguire l'aggiornamento alla versione 7.10.1, che risolve la vulnerabilità critica.

In generale, è importante che gli amministratori dei siti WordPress mantengano aggiornati tutti i plug-in, disabilitino quelli non necessari, utilizzino password di account complesse e disattivino gli account dormienti che possono essere violati.

Una vulnerabilità all'interno del plugin WordPress premium WPGateway è stata sfruttata da autori di minacce, come scoperto e segnalato dagli analisti della sicurezza di WordFence.

La vulnerabilità del plugin WPGateway è stata sfruttata

Il 13 settembre 2022, il team di Threat Intelligence di WordFence riportato in un post sul blog che una vulnerabilità di sicurezza all'interno del plugin premium WPGateway è stata sfruttata in libertà da soggetti malintenzionati.

WPGateway può essere utilizzato sui siti WordPress per installare ed eseguire il backup di siti, nonché gestire e clonare temi e plug-in. Consente agli amministratori del sito Web di eseguire azioni più facilmente.

La vulnerabilità, nota come CVE-2022-3180, ha portato all'attacco di oltre 280.000 siti Web che utilizzano il plug-in WPGateway. Questo può essere fatto aggiungendo un amministratore canaglia e dannoso a un dato sito, che di solito si chiama “rangex”. In questo modo l'aggressore può impossessarsi della pagina presa di mira e farne ciò che desidera.

WordFence afferma che milioni di attacchi sono stati bloccati

Nel suddetto post sul blog, WordFence ha affermato che sono già stati bloccati oltre 4,6 milioni di attacchi che sfruttano la vulnerabilità CVE-2022-3180. Tuttavia, molti siti sono stati comunque violati con successo tramite questo metodo exploit zero-day.

Al momento in cui scrivo, WordFence mantiene la bocca chiusa riguardo al problema, avendo rilasciato solo informazioni limitate sugli attacchi. Non è noto se nel prossimo futuro verranno rilasciate informazioni relative al lato tecnico dell'exploit.

WPGateway non è il primo plugin WordPress ad essere sfruttato

Vulnerabilità dei plugin non sono una novità per WordPress. Pochi giorni prima che WordFence annunciasse l’exploit WPGateway, anche un altro plugin di WordPress, noto come BackupBuddy, è stato sfruttato tramite una falla zero-day. La preoccupazione maggiore nell’ambito di questa minaccia alla sicurezza era il furto di dati sensibili dai siti Web interessati.

WordFence è stato anche in grado di bloccare milioni di attacchi derivanti da questa vulnerabilità zero-day, sebbene alcuni siti siano stati comunque presi di mira con successo.

Le minacce alla sicurezza di WordPress sono un problema di vecchia data

Esistono diversi modi attraverso i quali un utente malintenzionato può prendere di mira e attaccare qualsiasi sito Web WordPress. Questo è il motivo per cui è fondamentale che gli amministratori dei siti WordPress utilizzino misure di sicurezza adeguate per evitare tali rischi.

LayerSlider ha rilasciato aggiornamenti per risolvere una vulnerabilità critica (CVE-2024-2879) che interessa il plugin LayerSlider per WordPress. La vulnerabilità ha un punteggio Common Vulnerability Scoring System (CVSSv3) di 9,8 su 10.

Il plug-in LayerSlider è un editor di contenuti Web visivi, un software di progettazione grafica e un'applicazione di effetti visivi digitali che consente agli utenti di creare animazioni e contenuti avanzati per i propri siti Web.

Lo sfruttamento efficace della vulnerabilità SQL injection potrebbe consentire agli aggressori non autenticati di aggiungere ulteriori query SQL a query già esistenti che possono essere utilizzate per estrarre informazioni sensibili come gli hash delle password dal database.

La vulnerabilità colpisce le versioni di LayerSlider dalla 7.9.11 alla 7.10.0 inclusa.

Si consiglia agli utenti e agli amministratori delle versioni dei prodotti interessate di eseguire immediatamente l'aggiornamento alla versione più recente.

Maggiori informazioni sono disponibili qui:

Prezzi e commissioni

La prima cosa da considerare quando si sceglie un'alternativa a Shopify è il prezzo. Sebbene molte delle piattaforme che abbiamo esaminato offrano un piano gratuito, tutte hanno piani a pagamento con prezzi variabili. Se hai appena iniziato con il tuo negozio online, potresti voler iniziare con un piano gratuito per vedere come funziona la piattaforma per te. Ma se sei seriamente intenzionato a far crescere la tua attività, alla fine dovrai passare a un piano a pagamento.

Un'altra considerazione sono le commissioni. La piattaforma addebita sia una tariffa mensile che commissioni di elaborazione o di transazione su ogni acquisto? Devi utilizzare un gateway di pagamento separato o puoi utilizzare l'elaborazione dei pagamenti integrata nella piattaforma? Queste sono domande importanti da porsi quando si valutano i prezzi.

Ospitando

Un'altra considerazione importante è l'hosting. Alcune piattaforme, come Shopify e Wix, includono l'hosting come parte del canone di abbonamento mensile. Altri, come Ecwid e WooCommerce, non includono l'hosting ma semplificano la configurazione del tuo negozio su una piattaforma di hosting, come WordPress.

Se non sei sicuro di quale sia l'opzione giusta per te, pensa a quanto controllo desideri sull'hosting del tuo negozio. Se vuoi che la piattaforma gestisca tutto, allora una soluzione ospitata come Shopify o Squarespace potrebbe essere la scelta giusta. Ma se ti senti a tuo agio nel configurare il tuo hosting, allora una soluzione self-hosted come WooCommerce potrebbe essere un'opzione migliore.

Temi e opzioni di progettazione

Quando crei il tuo negozio online, vuoi che abbia un aspetto professionale e di marca. Ciò significa scegliere una piattaforma con una vasta gamma di temi e opzioni di design. Alcune piattaforme, come Shopify e Wix, offrono centinaia di temi tra cui scegliere. Altri, come Ecwid e Squarespace, offrono una selezione più piccola di temi ma ti consentono di personalizzare maggiormente il design del tuo negozio.

Pensa a quanto sia importante il design per la tua attività. Se desideri un'ampia selezione di temi tra cui scegliere, una piattaforma personalizzabile potrebbe essere la scelta giusta. E se ti senti a tuo agio nel lavorare con il codice e desideri un maggiore controllo sulla progettazione del tuo negozio, allora una piattaforma con open source o API potrebbe essere l'opzione migliore. Con questi tipi di piattaforme, puoi spesso trovare temi forniti dalla piattaforma, assumere un web designer o persino acquistare un tema già pronto da un mercato come Etsy.

Facilità d'uso

Un'altra considerazione importante è la facilità d'uso. Desideri una piattaforma facile da configurare e utilizzare, soprattutto se sei nuovo nell'e-commerce. Anche se non sei nuovo all'e-commerce e stai semplicemente cercando di migrare su una nuova piattaforma, valuta se esiste un servizio di migrazione o una guida passo passo per il trasferimento sulla tua nuova piattaforma. L'ultima cosa che vuoi è una piattaforma così complessa che ci vogliono settimane o mesi per impararla.

Per valutare la facilità d'uso, approfitta delle prove gratuite e delle demo offerte da varie piattaforme. Considera quanto tempo ci vuole per configurare un negozio di base, quanto è facile aggiungere prodotti e categorie e quanto è intuitiva l'interfaccia della piattaforma.

Sicurezza

Quando gestisci un negozio online, la sicurezza è sempre una delle principali preoccupazioni. Vuoi assicurarti che i dati dei tuoi clienti siano sicuri e protetti e che il tuo negozio sia protetto dagli hacker. Per valutare la sicurezza, cerca una piattaforma che offra funzionalità come la crittografia SSL e la conformità PCI. La crittografia SSL è importante per proteggere i dati dei tuoi clienti, mentre la conformità PCI garantisce che il tuo negozio sia sicuro dagli hacker.

Dovresti anche cercare una piattaforma che venga regolarmente aggiornata con le ultime patch di sicurezza. Ciò aiuta a garantire che il tuo negozio sia sempre protetto dalle minacce più recenti.

Opzioni di elaborazione dei pagamenti

Abbiamo accennato ai gateway di pagamento nella sezione prezzi e commissioni, ma vale la pena menzionarli ancora. Ti consigliamo di assicurarti che la piattaforma scelta offra un'ampia gamma di opzioni di elaborazione dei pagamenti. Ciò include carte di credito e debito, nonché fornitori di pagamenti popolari come PayPal, Stripe o Apple Pay.

Dovresti anche considerare se la piattaforma offre funzionalità aggiuntive, come la possibilità di impostare pagamenti basati su abbonamento o ordini ricorrenti. Queste funzionalità possono essere molto preziose per le aziende che vendono prodotti o servizi su base ricorrente.

Funzionalità SEO

Se vuoi che il tuo negozio abbia successo, devi assicurarti che sia visibile ai potenziali clienti. Ciò significa ottimizzare il tuo sito per i motori di ricerca come Google. Per valutare le funzionalità SEO di una piattaforma, cerca funzionalità come blog integrato, URL personalizzabili, meta tag e pulsanti di condivisione sui social. Queste funzionalità ti aiuteranno a ottimizzare il tuo sito per i motori di ricerca e ad indirizzare traffico al tuo negozio.

Dovresti anche considerare se la piattaforma offre funzionalità aggiuntive che possono aiutare con la SEO, come la possibilità di creare pagine personalizzate o aggiungere dati strutturati. Queste funzionalità possono aiutarti a migliorare il posizionamento del tuo sito nei risultati di ricerca e ottenere più traffico verso il tuo negozio.

Servizio Clienti

Infine, ti consigliamo di considerare l'assistenza clienti quando scegli una piattaforma di e-commerce. Di tanto in tanto le cose andranno inevitabilmente storte e dovrai poter fare affidamento sul team di assistenza clienti della tua piattaforma per aiutarti a risolvere eventuali problemi.

Per valutare l'assistenza clienti, cerca funzionalità come supporto 24 ore su 24, 7 giorni su 7, chat dal vivo, gruppo di supporto della community, supporto via email e una knowledge base. Queste funzionalità ti aiuteranno a ottenere l'aiuto di cui hai bisogno quando ne hai bisogno. Dovresti anche considerare la qualità del team di assistenza clienti. Cerca le recensioni di altri utenti per vedere come sono state le loro esperienze. Le loro promesse di marketing sono all’altezza delle aspettative?