Bug zero-day ‘critico’ riscontrato in tre popolari plugin di WordPress • Graham Cluley

Le versioni obsolete di tre popolari plugin di WordPress soffrono di una vulnerabilità zero-day “critica” che consente a un utente malintenzionato di prendere il controllo di un sito web.

Il bug è un difetto di iniezione di oggetti PHP che colpisce i seguenti plugin: Appuntamenti (versioni precedenti alla 2.2.2), Galleria Flickr (versioni precedenti alla 1.5.3) e RegistrationMagic-Moduli di registrazione personalizzati (versioni precedenti alla 3.7.9.3).

Insieme, questi plugin hanno una base utenti combinata di oltre 21.000 clienti WordPress. Tutti e tre hanno già ricevuto una soluzione per il problema di sicurezza, che è classificato “Critico” con un punteggio CVSS di 9,8.

Allora perché un punteggio così alto? Brad Haas, analista senior della sicurezza presso Wordfence, ha la risposta:

“Questa vulnerabilità ha consentito agli aggressori di fare in modo che un sito Web vulnerabile recuperasse un file remoto (una backdoor PHP) e lo salvasse in una posizione di loro scelta. Non richiedeva autenticazione o privilegi elevati. Per i siti che eseguono Flickr Gallery, gli aggressori dovevano solo inviare l’exploit come richiesta POST all’URL principale del sito. Per gli altri due plugin, la richiesta andrebbe a admin-ajax.php. Se l’aggressore fosse in grado di accedere alla propria backdoor, potrebbe prendere completamente il controllo del sito vulnerabile.”

Haas e i suoi colleghi si sono imbattuti nella vulnerabilità mentre stavano ripulendo un sito web compromesso. Sì, ciò significa che gli aggressori stanno sfruttando la falla in natura. Quindi non c’è tempo da perdere.

I clienti Premium di Wordfence sono già protetti dalle regole firewall aggiornate del plug-in di sicurezza WordPress. Altri utenti farebbero bene ad assicurarsi di aver aggiornato tutti i loro plugin se ritengono di essere a rischio.

Naturalmente, assicurarsi che i plugin di WordPress siano regolarmente aggiornati per proteggerli dalle vulnerabilità note è sempre un consiglio sensato. Se amministri il tuo sito Web WordPress, assicurati di mantenere aggiornati i plug-in.

Ce ne sono sicuramente stato Abbastanza Di loro negli ultimi anni, quindi è bene prendere l’abitudine in futuro se non l’hai già fatto.

Hai trovato interessante questo articolo? Segui Graham Cluley su Twitter, MastodonteO Discussioni per leggere di più sui contenuti esclusivi che pubblichiamo.