Aggiornamenti recenti Ottobre 17th, 2025 9:00 AM
Giu 30, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di sicurezza di Wordfence hanno individuato una vulnerabilità presente nei plugin di miniOrange Social Login e Register usati su WordPress e attivi su più di 30.000 siti.
Il plugin permette di eseguire il login tramite social e di condividere contenuti WordPress sulla piattaforma dalla quale si è fatto l’accesso, come Facebook, LinkedIn, Twitter, Discord o Twitch.
La vulnerabilità, identificata come CVE-2023-2982, ha ricevuto un punteggio di 9,8 su 10 ed è quindi catalogata come critica. I plugin di WordPress si sono rivelati vulnerabili agli attacchi di authentication bypass: un attaccante non autenticato è in grado di accedere a qualsiasi account del sito, compreso quello di amministratore, una volta entrato in possesso delle email di registrazione.
Credits: mishoo- Depositphotos
Nel dettaglio, il problema sta nel modo in cui viene memorizzata la chiave di cifratura per le informazioni di login: nelle versioni vulnerabili del plugin, la chiave è codificata direttamente nel codice. Una volta entrati in possesso della chiave, gli attaccanti possono creare delle richieste ad hoc contenenti l’email della vittima per bypassare la fase di autenticazione e compromettere l’intero sito.
La vulnerabilità colpisce la versione 7.6.4 dei plugin e tutte le precedenti. Wordfence ha avvertito miniOrange della vulnerabilità e la società ha rilasciato una prima patch il 12 giugno, nella quale era però presente un altro bug; due giorni dopo, il 14 giugno, miniOrange ha rilasciato l’aggiornamento definitivo nella versione 7.6.5.
Wordfence e miniOrange invitano gli utenti WordPress a controllare la presenza dei plugin ed eventualmente aggiornarlo all’ultima versione rilasciata. Gli utenti Wordfence Premium, Wordfence Care e Wordfence Response dovrebbero già aver ricevuto un firewall per proteggersi dalla vulnerabilità, ma è comunque fondamentale aggiornare la versione dei plugin il prima possibile.
Gen 15, 2025 0
Dic 12, 2024 0
Nov 18, 2024 0
Ott 18, 2024 0
Ott 17, 2025 0
Ott 16, 2025 0
Ott 15, 2025 0
Ott 14, 2025 0
Ott 17, 2025 0
Il Global Threat Intelligence Report di settembre...Ott 16, 2025 0
ChatGPT Agent può essere usato per esfiltrare dati: lo ha...Ott 15, 2025 0
Aumentare la complessità delle password, richiedendo...Ott 01, 2025 0
Secondo l’ultima ricerca di FireMon, azienda di...Set 25, 2025 0
Tra le conseguenze più impattanti degli attacchi...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Ott 17, 2025 0
Il Global Threat Intelligence Report di settembre...Ott 16, 2025 0
ChatGPT Agent può essere usato per esfiltrare dati: lo...Ott 15, 2025 0
Aumentare la complessità delle password, richiedendo...Ott 14, 2025 0
Dopo quasi trent’anni di attività nel mondo della...Ott 14, 2025 0
In un nuovo post sul proprio blog, Apple ha espresso...