Vulnerabilità di plugin WordPress mettono a rischio 2 milioni di utenti

Ogni giorno sono moltissimi i siti WordPress su cui vengono installati nuovi plugin e altri vengono aggiornati. E nel caso di plugin affetti da importanti vulnerabilità come quelli che ti segnaliamo oggi, l’aggiornamento non è tra quelli semplicemente consigliati.

Purtroppo, infatti, anche i developer con le migliori intenzioni non sono in grado di prevedere tutto ciò che può andare storto nel loro software. Ed è proprio per questo motivo che è sempre importante rimanere informati sulle eventuali patch e gli aggiornamenti rilasciati per tutti i plugin WordPress che un sito contiene.

E parlando di plugin e di aggiornamenti: hai controllato se quelli che hai installato sul tuo sito web sono davvero utili e fanno quello di cui hai bisogno? Il primo modo per avere un sito web sicuro per te e per gli utenti che ti visitano è infatti quello di controllare periodicamente se la piattaforma e i plugin sono tutti aggiornati e se hai tutti gli strumenti necessari perché il tuo sito faccia ciò che deve. Un plugin che non usi ma che rimane installato è comunque presente e potrebbe aprire le porte a un attacco malevolo.

Vulnerabilità riscontrata in Better Search Replace

Cominciamo la nostra panoramica dei plugin in cui sono presenti vulnerabilità con Better Search Replace. Il plugin, sviluppato da WP Engine, è presente al momento su oltre un milione di siti web costruiti con WordPress. Si tratta di un plugin molto utile nel momento in cui un sito web viene fatto traslocare su un nuovo dominio e c’è quindi necessità di controllare nei database che tutto sia reindirizzato correttamente. il plugin ha un buon seguito e ottime recensioni.

La vulnerabilità, segnalata da WordFence, è per questo molto preoccupante. Better Search Replace è infatti affetto da una PHP Object Injection. Nella pratica, il plugin potrebbe permettere ad attori malevoli anche senza autorizzazioni di inserire oggetti PHP e, nel caso siano presenti altri plugin o elementi che creano una POP chain, questa vulnerabilità può anche essere sfruttata per cancellare file, raccogliere dati sensibili presenti nei database o inserire altro codice malevolo. La vulnerabilità è classificata da WordFence con un valore di 9.8/10 e la versione che devi avere installato sul tuo sito WordPress deve essere la 1.4.5, qualunque versione inferiore soffre di questa vulnerabilità.

Vulnerabilità riscontrata in File Manager

La seconda vulnerabilità segnalata sempre da WordFence e molto pericolosa, dato che viene classificata con un 8.1/10, riguarda il plugin File Manager. Nel prossimo paragrafo parleremo invece della vulnerabilità rintracciata in un altro plugin: File Manager PRO. Non confonderli.

File Manager è un plugin sviluppato per WordPress da mndpsingh287 con oltre un milione di installazioni attive e ottime recensioni. Probabilmente è uno dei plugin più utili tra le utility generali dato che consente la gestione dei file dal backend di WordPress senza FTP. La vulnerabilità è una di tipo Sensitive Information Exposure, il che significa che il plugin potrebbe consentire ad attori malevoli, anche in questo caso come nel precedente plugin esaminato, senza autenticazione di estrarre dati sensibili dai dati che vengono caricati e scaricati. Il problema deriva da una mancanza di ulteriore randomizzazione nei nomi usati per il backup dei file, costruiti con un timestamp e quattro cifre.Il plugin risulta affetto dalla vulnerabilità in tutte le sue versioni ed è quindi necessario aggiornare alla 7.2.2.

Vulnerabilità riscontrata in File Manager PRO

Come accennato prima, anche il plugin WordPress File Manager PRO è affetto da una importante vulnerabilità. Il plugin ha un suo sito web apposito ed è la versione superiore del plugin File Manager. Anche se si potrebbe pensare ad un semplice upgrade, la vulnerabilità riscontrata nella versione PRO non è la stessa segnalata per la versione free. Si tratta infatti di una vulnerabilità di tipo Arbitrary File Upload. A differenza del problema della versione free, per la versione PRO l’eventuale attacco ai danni del sito WordPress può avvenire solo da parte di attori malevoli che siano entrati in possesso delle credenziali di accesso ma la cosa non lo rende meno pericoloso. WordFence lo classifica infatti con un punteggio 8.8/10. In caso venga sfruttata la vulnerabilità è possibile l’inserimento e l’esecuzione di codice malevolo sul server. La versione aggiornata da installare è la 8.3.5.