Aggiornamenti recenti Febbraio 7th, 2025 11:57 AM
Ott 14, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Non c’è niente di peggio che una vulnerabilità in un software dedicato ai “Dummies”. Il caso di Brizy, plugin di WordPress pensato per offrire uno strumento “accessibile” per la creazione di un sito Internet rientra a pieno nella categoria e, giustamente, ha fatto suonare un campanello di allarme tra gli esperti di sicurezza.
Brizy viene descritto come uno strumento per la creazione di siti “che chiunque può usare”. Un claim accattivante, anche per i pirati informatici. Stando alle premesse, infatti, i cyber criminali possono contare sul fatto che chi usa Brizy non sia propriamente un “power user”.
Di qui la preoccupazione dei ricercatori di Wordfence, che in un post pubblicato su Internet, spiegano di aver individuato il problema durante un controllo di routine sulle regole dei firewall.
Le vulnerabilità di Brizy individuate sarebbero tre: la prima (CVE-2021-38345) era in realtà stata già individuata e corretta in un aggiornamento del giugno 2020, salvo poi essere reintrodotta con la versione 1.0.127 del plugin. Si tratta di un bug che, a causa di una mancata verifica di autenticazione, consente la modifica dei post.
La seconda vulnerabilità (CVE-2021-38344) è invece relativa alla possibilità di portare un attacco XSS con conseguente iniezione di script potenzialmente malevoli nelle pagine Web. La terza (CVE-2021-38346) permette l’upload arbitrario di file da parte di utenti autenticati.
Il combinato disposto delle tre vulnerabilità porterebbe, in pratica, alla possibilità di colpire gli amministratori del sito e prendere il controllo di quest’ultimo con estrema facilità.
Il problema, al momento, riguarda due aspetti: il primo relativo alla necessità di distribuire l’aggiornamento a tutti gli utenti che usano Brizy. Il secondo, ancora più spinoso, di individuare e “sanificare” i siti Internet (sono circa 90.000 quelli che usano il plugin) eventualmente già compromessi dai cyber criminali.
Nov 18, 2024 0
Ott 15, 2024 0
Set 09, 2024 0
Giu 25, 2024 0
Feb 07, 2025 0
Feb 06, 2025 0
Feb 05, 2025 0
Feb 04, 2025 0
Gen 30, 2025 0
Quando si parla di dati e di privacy, gli utenti si dicono...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Gen 15, 2025 0
Gli ultimi giorni dell’anno sono da sempre...Gen 08, 2025 0
Se finora l’FBI e il governo degli Stati Uniti ha...Gen 02, 2025 0
Oggi le aziende italiane non solo devono affrontare nuove e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Feb 07, 2025 0
Un bug critico e noto di Outlook è stato sfruttato...Feb 06, 2025 0
Silent Lynx, un gruppo APT di origine kazaka, è tornato...Feb 05, 2025 0
Il team di Threat Hunting della Zero Day Initiative di...Feb 04, 2025 0
Sophos ha completato l’acquisizione di Secureworks,...Feb 03, 2025 0
Meta ha annunciato di aver smantellato una campagna di...