Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Il plugin Social Login di WordPress soffre di una vulnerabilità critica

Giu 30, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

I ricercatori di sicurezza di Wordfence hanno individuato una vulnerabilità presente nei plugin di miniOrange Social Login e Register usati su WordPress e attivi su più di 30.000 siti.

Il plugin permette di eseguire il login tramite social e di condividere contenuti WordPress sulla piattaforma dalla quale si è fatto l’accesso, come Facebook, LinkedIn, Twitter, Discord o Twitch.

La vulnerabilità, identificata come CVE-2023-2982, ha ricevuto un punteggio di 9,8 su 10 ed è quindi catalogata come critica. I plugin di WordPress si sono rivelati vulnerabili agli attacchi di authentication bypass: un attaccante non autenticato è in grado di accedere a qualsiasi account del sito, compreso quello di amministratore, una volta entrato in possesso delle email di registrazione.

Credits: mishoo- Depositphotos

Nel dettaglio, il problema sta nel modo in cui viene memorizzata la chiave di cifratura per le informazioni di login: nelle versioni vulnerabili del plugin, la chiave è codificata direttamente nel codice. Una volta entrati in possesso della chiave, gli attaccanti possono creare delle richieste ad hoc contenenti l’email della vittima per bypassare la fase di autenticazione e compromettere l’intero sito.

La vulnerabilità colpisce la versione 7.6.4 dei plugin e tutte le precedenti. Wordfence ha avvertito miniOrange della vulnerabilità e la società ha rilasciato una prima patch il 12 giugno, nella quale era però presente un altro bug; due giorni dopo, il 14 giugno, miniOrange ha rilasciato l’aggiornamento definitivo nella versione 7.6.5.

Wordfence e miniOrange invitano gli utenti WordPress a controllare la presenza dei plugin ed eventualmente aggiornarlo all’ultima versione rilasciata. Gli utenti Wordfence Premium, Wordfence Care e Wordfence Response dovrebbero già aver ricevuto un firewall per proteggersi dalla vulnerabilità, ma è comunque fondamentale aggiornare la versione dei plugin il prima possibile.

Condividi l'articolo