Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Crescono le truffe ai danni dei consumatori, preoccupano quelle basate su IA. Il report di Bitdefender
Fantasy Hub: scoperto un nuovo RAT Android che prende il controllo totale del dispositivo
Torna GlassWorm, il primo worm che colpisce le estensioni di VS Code
Knownsec colpita da un catastrofico breach: esposti oltre 12.000 documenti sensibili
CERT-AGID 1–7 novembre: phishing su Banca d’Italia e Agenzia delle Entrate

Vulnerabilità in WordPress: migliaia di siti a rischio

Lug 21, 2016 Marco Schiaffino Hacking, Intrusione, News, Vulnerabilità 0

Le falle di sicurezza individuate da un gruppo di hacker olandesi. A soffrirne sono due popolari plug-in per il Content Management System più usato al mondo.

La notizia è di quelle a cui bisogna prestare attenzione, soprattutto se si gestiscono siti amministrati con WordPress. Stando a quanto pubblicato dalla comunità hacker che si raccoglie intorno al Summer of Pwnage (un hacking festival in corso nel mese di luglio) la piattaforma sarebbe vulnerabile a varie forme di attacco.

Nel mirino ci sono alcuni strumenti piuttosto popolari. Il primo è Ninja Forms, utilizzato per creare moduli sulle pagine Web di WordPress. Il plug-in sarebbe vulnerabile a un Multiple Cross-Site Scripting che permetterebbe l’esecuzione di codice in remoto.

Un problema non di poco conto se si considera che sul sito ufficiale di Ninja Forms il counter indica quasi 3 milioni di download e che nella sezione dedicata ai plug-in di WordPress viene accreditato di oltre 60.000 installazioni.

Nella pagina Web che illustra la vulnerabilità, gli hacker di Summer of Pwnage hanno inserito anche un link da cui è possibile scaricare la versione aggiornata del plug-in in cui il problema è stato risolto.

Un mese di festival per andare a caccia di bug nei software open source. Il Summer of Pwnage si sta tenendo ad Amsterdam proprio in questi giorni.

L’altro plug-in a rischio è un lettore video, che soffrirebbe di numerose vulnerabilità. In questo caso si tratta di una SQL Injection che consentirebbe a un qualsiasi utente di estrarre informazioni (per esempio la password di amministratore) dal database. Anche in questo caso la soluzione è disponibile e la versione aggiornata del Video Player può essere scaricata qui.

Non ne esce indenne nemmeno Icegram, un plug-in che consente per esempio la creazione di Pop-Up e notifiche nelle pagine Web. Stando a quanto scoperto dagli hacker riuniti ad Amsterdam per il Summer of Pwnage, infatti, un pirata potrebbe sfruttare una falla nel suo codice per modificare le opzioni di WordPress attivando qualsiasi funzione desideri.

Un giochetto che, secondo i ricercatori, potrebbe consentire di “aprire” funzioni vulnerabili e permettere così un attacco al sito. La vulnerabilità è stata corretta nella versione 1.9.19 pubblicata due giorni fa.

Condividi l'articolo