Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Vulnerabilità in PHP Everywhere per WordPress

Feb 11, 2022 Redazione news News, RSS, Vulnerabilità 0

Sono state trovate tre vulnerabilità critiche remote code execution (RCE), ovvero di esecuzione di codice da remoto, nel plug-in per WordPress PHP Everywhere, usato da oltre 30.000 siti

Il plug-in PHP Everywhere consente a chi lavora in WordPress di inserire codice PHP nelle pagine, nei post, nella barra laterale o in altri blocchi Gutenberg per mostrare contenuti dinamici.

Come segnala un articolo su Bleeping Computer, gli analisti di Wordfence hanno individuato tre vulnerabilità: due che possono essere sfruttate da chi collabora al sito e una accessibile a tutti i suoi utenti. Sono presenti in tutte le versioni di WordPress dalla 2.0.3.

Se le prime due richiedono privilegi di accesso, l’ultima espone a un maggior rischio di attacchi, perché per sfruttarla basta registrarsi come utenti del sito. Il fatto che consenta l’esecuzione arbitraria di codice sul sito espone inoltre al rischio che dei pirati ne prendano il controllo, che è il peggior scenario possibile nell’ambito della sicurezza.

Le vulnerabilità sono state scoperte il 4 gennaio da Wordfence che ha informato lo sviluppatore di PHP Everywhere. Quest’ultimo ha pubblicato un aggiornamento di sicurezza il 10 gennaio con la versione 3.0.0 che risolve il problema.

Anche se l’update è disponibile da un mese, non tutti gli amministratori aggiornano regolarmente i loro siti WordPress e i relativi plug-in. Secondo le statistiche di scaricamento di WordPress.org, solo 15.000 dei of 30.000 siti che lo usano hanno aggiornato il plug-in dalla risoluzione dei bug.

Data la gravità di queste vulnerabilità è però molto importante che gli amministratori che utilizzano PHP Everywhere nei loro siti si affrettino a scaricare la versione 3.0.0 del plug-in.

Condividi l'articolo