Vulnerabilità WordPress: Aggiornamento del mese di Gennaio

Sei proprietario di un sito WordPress? Sicuramente ti interesserà sapere che ogni mese vengono riscontrati numerosi bug di sicurezza: le statistiche dicono che il 98% delle vulnerabilità di WordPress è legato ai plugin.

Di seguito riportiamo la panoramica segnalata da WebArx di alcuni dei Plugin vulnerabili noti nel mese di Gennaio.

Vulnerabilità WordPress: Aggiornamento del mese di Gennaio

GistPress

  • Vulnerabilità: XSS memorizzato autenticato. Tale vulnerabilità potrebbe essere sfruttata da collaboratori non attendibili su siti di più autori.
  • Numero di siti interessati: N / D

Elementor Page Builder

  • Vulnerabilità: XSS memorizzato autenticato e riflesso, potrebbe consentire agli hacker di creare nuovi account amministrativi o di memorizzare il backdoor di un sito per mantenere l'accesso.
  • Numero di siti interessati: 4 milioni +

Code Snippets

  • Vulnerabilità: Da CSRF critico a RCE. Senza la protezione CSRF, questa vulnerabilità consente la possibilità di violare dati sensibili degli utenti e di inserire codice dannoso ogni qualvolta che un utente visita il sito.
  • Numero di siti interessati: 200.000+

Flamingo

  • Vulnerabilità: CSV injection.
  • Numero di siti interessati: 500.000+

wpCentral

  • Vulnerabilità: Escalation di privilegi, che consente a chiunque abbia effettuato l'accesso con qualsiasi ruolo utente di aumentare il proprio privilegio o alterare/caricare qualsiasi file o modificare qualsiasi plugin e interagire con il sito in molti altri modi.
  • Numero di siti interessati: 50.000+

WPS Hide Login 

  • Vulnerabilità: Accesso alla pagina segreta di login. 
  • Numero di siti interessati: 500.000+

WP DS FAQ Plus

  • Vulnerabilità: XSS memorizzata
  • Numero di siti interessati: 50.000+

Calculated Fields Form

  • Vulnerabilità: XSS memorizzato autenticato, che causa la possibilità di inserire codice JavaScript dannoso attraverso i campi “nome” e “modulo”.
  • Numero di siti interessati: 50.000+

Chained Quiz

  • Vulnerabilità: XSS riflesso non autenticato
  • Numero di siti interessati: 1.000+

Contact Form Clean and Simple

  • Vulnerabilità: XSS memorizzato e autenticato, comporta la possibilità da parte di un utente livello admin di inviare codice dannoso in front-end su ogni pagina con il modulo di contatto.
  • Numero di siti interessati: 20.000+

Ultimate Member

  • Vulnerabilità: Insecure direct object reference (IDOR), che consente di modificare il profilo degli utenti e le immagini di copertina.
  • Numero di siti interessati: 100.000+

AccessAlly

  • Vulnerabilità: Esecuzione arbitraria di PHP, effettuata tramite il widget di accesso. 
  • Numero di siti interessati: N / D

IBM Watson

  • Vulnerabilità: DOM-based XSS, consente all’hacker di inserire JavaScript malevolo nel browser dell’utente, inducendo l’utente ad incollare il codice all’interno della chat di assistenza fornita da questo plugin. 
  • Numero di siti interessati: 2.000+

Contextual Adminbar Color

  • Vulnerabilità: Cross-site scripting archiviato e autenticato
  • Numero di siti interessati: 40+

2J SlideShow

  • Vulnerabilità: Disattivazione arbitraria del plugin.
  • Numero di siti interessati: 3.000+

Batch-Move Posts

  • Vulnerabilità: Autenticazione non corretta che porta a XSS memorizzato non autenticato, grazie alla quale un utente malintenzionato può aggiungere l’XSS Payload in remoto senza alcuna autenticazione, attivandolo quando l'amministratore visita la pagina delle impostazioni del plugin.
  • Numero di siti interessati: N / D

Marketo Forms and Tracking

  • Vulnerabilità: Da CSRF a XSS
  • Numero di siti interessati: N / D

WP Database Reset

  • Vulnerabilità: Ripristino del database non autenticato, problematica che ha permesso a qualsiasi utente non autenticato di ripristinare qualsiasi tabella dal database allo stato di installazione di WordPress. Inoltre è stata riscontrata un’altra vulnerabilità che ha consentito a qualsiasi utente autenticato, anche quelli con autorizzazioni minime, la possibilità di concedere i privilegi di amministratore del proprio account eliminando tutti gli altri utenti dalla tabella con una semplice richiesta.
  • Numero di siti interessati: 80.000+

LearnDash

  • Vulnerabilità: Cross-site scripting (XSS) riflesso nel campo di ricerca [ld_profile]
  • Numero di siti interessati: N / D

Video on Admin Dashboard

  • Vulnerabilità: XSS memorizzato autenticato.
  • Numero di siti interessati: 40+

Computer Repair Shop

  • Vulnerabilità: XSS memorizzato autenticato.
  • Numero di siti interessati: 40+

TablePress

  • Vulnerabilità: CSV injection.
  • Numero di siti interessati: 800.000+

WooCommerce – Store Exporter

  • Vulnerabilità: CSV Injection.
  • Numero di siti interessati: 20.000+

Backup and Staging by WP Time Capsule

  • Vulnerabilità: Bypass dell'autenticazione.
  • Numero di siti interessati: 20.000+

InfiniteWP Client

  • Vulnerabilità: Bypass dell'autenticazione.
  • Numero di siti interessati: 300.000+

Coming Soon Page

  • Vulnerabilità: Sono state riscontrate diverse problematiche, quali CSRF to stored XSS, modifiche al pannello Impostazioni, autorizzazioni non sicure per abilitare e disabilitare la modalità di manutenzione e per le impostazioni di esportazione/modifica del tema.
  • Numero di siti interessati: 80.000+

Ultimate Auction

  • Vulnerabilità: CSRF multiple e XSS
  • Numero di siti interessati: 3.000+

ElegantThemes

  • Vulnerabilità: Authenticated code injection, che poteva consentire a collaboratori, autori ed editor che hanno effettuato l'accesso di eseguire un piccolo set di funzioni PHP.
  • Numero di siti interessati: N/A

WooCommerce Conversion Tracking

  • Vulnerabilità: CSRF to XSS. 
  • Numero di siti interessati: 20.000+

Postie

  • Vulnerabilità: Spoofing & stored XSS del post di presentazione, che ha causato la possibilità di pubblicare un post, contenente anche un payload XSS, come fosse postato da un utente valido.
  • Numero di siti interessati: 20.000+

Import Users

  • Vulnerabilità: Esportazione di utenti autenticati non autorizzati e  CSRF che porta alla cancellazione degli allegati e al Path Traversal
  • Numero di siti interessati: 30.000+

Ultimate FAQ

  • Vulnerabilità: XSS riflesso non autenticato
  • Numero di siti interessati: 40.000+

WP Simple Spreadsheet Fetcher For Google

  • Vulnerabilità: Aggiornamento della chiave API arbitraria tramite CSRF, causato dalla mancanza di controlli CSRF (Cross-Site Request Forgery) nella pagina delle impostazioni del plugin.
  • Numero di siti interessati: circa 10

Inoltre, sono state riscontrate vulnerabilità di Remote Code Execution (RCE) alle versioni precedenti di WordPress 5.2.4. che elude i meccanismi di protezione. Ciò consente agli aggressori di sfruttare le semplici vulnerabilità di Cross-Site Scripting per il pieno impatto dell'esecuzione di codice in modalità remota sul server.

Siti WordPress hackerati: problemi per la SEO? 

Sapevi che un sito web in blacklist può perdere fino al 95% del posizionamento organico su Google? Non lasciare che tutti gli sforzi e gli investimenti nella lavorazione SEO, fatti finora per posizionare il tuo sito web vengano compromessi da un sito web poco sicuro o soggetto a numerose e ricorrenti vulnerabilità.

Non vanificare tutto il lavoro svolto per la presenza online della tua azienda!
Contattaci per una consulenza senza impegno.

Possiamo esserti utili?

Ti è piaciuto questo articolo? Vuoi saperne di più? Non esitare a scriverci!

EMail   *
Nominativo/Azienda   *
Telefono
Messaggio   *
Vuoi iscriverti alla newsletter?
Accettazione Privacy Policy   *

Commenta con Facebook