Aggiornamenti recenti Maggio 16th, 2024 3:14 PM
Giu 30, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di sicurezza di Wordfence hanno individuato una vulnerabilità presente nei plugin di miniOrange Social Login e Register usati su WordPress e attivi su più di 30.000 siti.
Il plugin permette di eseguire il login tramite social e di condividere contenuti WordPress sulla piattaforma dalla quale si è fatto l’accesso, come Facebook, LinkedIn, Twitter, Discord o Twitch.
La vulnerabilità, identificata come CVE-2023-2982, ha ricevuto un punteggio di 9,8 su 10 ed è quindi catalogata come critica. I plugin di WordPress si sono rivelati vulnerabili agli attacchi di authentication bypass: un attaccante non autenticato è in grado di accedere a qualsiasi account del sito, compreso quello di amministratore, una volta entrato in possesso delle email di registrazione.
Nel dettaglio, il problema sta nel modo in cui viene memorizzata la chiave di cifratura per le informazioni di login: nelle versioni vulnerabili del plugin, la chiave è codificata direttamente nel codice. Una volta entrati in possesso della chiave, gli attaccanti possono creare delle richieste ad hoc contenenti l’email della vittima per bypassare la fase di autenticazione e compromettere l’intero sito.
La vulnerabilità colpisce la versione 7.6.4 dei plugin e tutte le precedenti. Wordfence ha avvertito miniOrange della vulnerabilità e la società ha rilasciato una prima patch il 12 giugno, nella quale era però presente un altro bug; due giorni dopo, il 14 giugno, miniOrange ha rilasciato l’aggiornamento definitivo nella versione 7.6.5.
Wordfence e miniOrange invitano gli utenti WordPress a controllare la presenza dei plugin ed eventualmente aggiornarlo all’ultima versione rilasciata. Gli utenti Wordfence Premium, Wordfence Care e Wordfence Response dovrebbero già aver ricevuto un firewall per proteggersi dalla vulnerabilità, ma è comunque fondamentale aggiornare la versione dei plugin il prima possibile.
Mag 09, 2024 0
Apr 22, 2024 0
Apr 04, 2024 0
Mar 07, 2024 0
Mag 16, 2024 0
Mag 16, 2024 0
Mag 14, 2024 0
Mag 14, 2024 0
Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...Mag 10, 2024 0
A partire dallo scorso gennaio e fino a metà marzo, MITRE...Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft: tra...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 16, 2024 0
Ieri Google ha comunicato di aver risolto una...Mag 16, 2024 0
Nell’ultimo aggiornamento di sicurezza, Microsoft ha...Mag 14, 2024 0
Apple e Google hanno annunciato la disponibilità di...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...Mag 13, 2024 0
Nell’ultima settimana, il CERT-AGID ha identificato e...