Riscontrate vulnerabilità in due plugin WordPress mettono a rischio circa un milione di siti

Su Wordfence Intelligence sono state di recente aggiunte due segnalazioni che riguardano altrettanti plugin WordPress, perché sono state riscontrate delle vulnerabilità che, nei fatti, si trasformano in pericoli per gli utenti che hanno installato questi plugin sui propri siti web e per gli utenti.

La pericolosità delle vulnerabilità che sono state riscontrate è diversa ma, a prescindere dal fatto o meno se si tratta di un problema che può essere più o meno grave, il consiglio generale è quello di aggiornare sempre non solo la versione di WordPress a quella più recente ma anche di assicurarti che il tuo sito abbia i plugin aggiornati.

Un controllo ulteriore che devi sempre fare riguarda proprio i plugin WordPress: se ti rendi conto che quelli che utilizzi non sono aggiornati da un po’ è forse il caso di controllare che non siano stati in qualche modo abbandonati dai loro sviluppatori e se non sia quindi il caso di trovare delle soluzioni alternative. Fatta questa dovuta premessa analizziamo nel dettaglio le vulnerabilità segnalate da Wordfence Intelligence.

Plugin WordPress segnalati, problema riscontrato con Complianz | GDPR/CCPA Cookie Consent

La vulnerabilità meno pericolosa, classificata con un 4.4 su 10 da Wordfence Intelligence, è stata riscontrata all’interno del plugin Complianz | GDPR/CCPA Cookie Consent. Si tratta questo di un plugin che viene utilizzato come strumento per aiutare a gestire la privacy degli utenti dei siti WordPress in linea sia con il General Data Protection Regulation sia con il California Consumer Privacy Act. Nella pratica il plugin consente di bloccare i cooky di terze parti, gestire il consenso e anche controllare i banner. Si tratta di uno strumento abbastanza popolare che al momento è installato su 800 mila siti diversi.

Il tipo di vulnerabilità che è stata riscontrata è classificata come Stored Cross-Site Scripting. Una versione della più generica vulnerabilità XSS. In particolare, quello che manca sono due funzioni di sicurezza: la sanificazione dell’input e l’output escaping. Le vulnerabilità del tipo XSS consentono ad agenti malevoli che siano in grado di ottenere i permessi di admin di inserire codice malevolo che si attiva ogni volta un utente visita la pagina che è stata infettata. La versione più aggiornata del plugin, la 6.5.6 è già disponibile.

Il problema con il plugin OMGF | GDPR/DSGVO Compliant

Come abbiamo visto, il problema segnalato per il plugin WordPress Complianz | GDPR/CCPA Cookie Consent è stato categorizzato con un valore di 4.4 su 10. Si tratta quindi di una pericolosità definita media. Per quello che riguarda il plugin OMGF | GDPR/DSGVO Compliant, invece, Wordfence Intelligence classifica la pericolosità con un 8.6 e siamo quindi con un rischio più alto.

Anche in questo caso la vulnerabilità riguarda lo Stored Cross-Site Scripting e la modifica non autorizzata dei dati. Il plugin OMGF | GDPR/DSGVO Compliant viene utilizzato per ottimizzare i Google Font e quindi rendere più veloci le pagine su cui questi font vengono utilizzati.

Rispetto alla vulnerabilità riscontrata sul plugin Complianz | GDPR/CCPA Cookie Consent siamo di fronte ad un problema che potenzialmente, anche se si tratta di un plugin diffuso su soli 300 mila siti web al momento, può essere molto dannoso. Perché la vulnerabilità, a differenza di quella riscontrata nel plugin Complianz, non ha necessità che gli attori malevoli riescano ad entrare in possesso di qualunque tipo di credenziali e non c’è quindi bisogno di avere i poteri degli admin.

Oltre quindi a permettere a chiunque sia in grado di sfruttare questa falla nella sicurezza di inserire codice malevolo c’è in più il pericolo che un utente non autorizzato possa liberamente cancellare o modificare le directory del sito web colpito. Anche per quello che riguarda questo plugin esiste già una versione aggiornata dotata di patch: la versione 5.7.10.