Vulnerabilità WordPress round up: giugno 2019, Parte 1

Vulnerabilità Wordpress

Nuove Vulnerabilità WordPress che interessano plugin e temi sono stati divulgati durante questo mese, eccole a seguire:

Vulnerabilità plug-in WordPress

Diverse nuove vulnerabilità WordPress nei plug-in sono state scoperte durante questo mese. Assicurati di seguire l’azione suggerita qui sotto per aggiornare il plugin o disinstallarlo completamente.

1. WP Statistics

WP Statistics plugin, versione 12.6.5, ed inferiore, vulnerabile al cross-site scripting.

Cosa dovresti fare?

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 12.6.6.1.

2. Paid Memberships Pro

Paid Memberships Pro plugin 2.0.5 e inferiore è vulnerabile a reindirizzamenti non convalidati, infatti Il plugin stava usando wp_redirect in luoghi in cui avrebbero dovuto usare wp_safe_redirect.

L’utilizzo della funzione wp_safe_redirect() impedisce reindirizzamenti dannosi ad altri host

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.0.6.

3. Crelly Slider

Crelly Slider plugin versione 1.3.4 e inferiore è vulnerabile a un è vulnerabile a un attacco di caricamento file arbitrario non autenticato. La vulnerabilità ha permesso agli abbonati di caricare ed eseguire uno script potenzialmente dannoso, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 1.3.5.

4. Breadcrumbs

Breadcrumbs versione 1.0.1 e inferiore aveva tre diverse vulnerabilità divulgate questo mese. Il plugin era vulnerabile a un XXS, e Cross-Site Request Forgery attack
Se un utente malintenzionato avesse sfruttato le vulnerabilità, sarebbe stato in grado di modificare le impostazioni di Breadcrumb, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

Le vulnerabilità sono state patchate. Eseguire l’aggiornamento alla versione 1.0.3.

5. Easy Digital Download

Easy Digital Downloads versione 2.9.16 e inferiore è vulnerabile a un attacco XSS memorizzato, dunque pericoloso per la tua sicurezza. La vulnerabilità potrebbe consentire un attacco Cross Site Scripting sugli indirizzi IP per i registri, dunque pericoloso per la tua sicurezza.
Cosa dovresti fare
La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.9.16.

6. WordPress Download Manager

WordPress Download Manager versione 2.9.96 e inferiore ha vulnerabilità all’infezione di input con il modello e-mail e le impostazioni del pacchetto, dunque pericoloso per la tua sicurezza.
Cosa dovresti fare
La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.9.97.

7. Affiliates Manager

Affiliates Manager versione 2.6.5 e inferiore è vulnerabile a un attacco di contraffazione richiesta tra siti. Nel plugin mancano i controlli di sicurezza appropriati e i nonces nelle impostazioni.

Il campo nonce viene utilizzato per convalidare che il contenuto della richiesta del modulo provenga dal sito corrente e non da un’altra posizione.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.6.6.

8. Related YT Videos

Related YT Videos versione 1.9.8 e successive sono vulnerabili a un attacco Cross-Site Request Forgery e XSS. Il plugin mancava dei nonces e dellla sanificazione corretta, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 1.9.9.

9. WP Google Maps

WP Google Maps versione 7.11.27 e inferiore è vulnerabile a un attacco di contraffazione richiesta tra siti. Nel modulo delle impostazioni sull’azione post amministratore mancava un nonce.

Il campo nonce viene utilizzato per convalidare che il contenuto della richiesta del modulo provenga dal sito corrente e non da un’altra posizione.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 7.11.28

Come sempre, questi sono i nostri consigli sulle vulnerabilità wordpress, se hai bisogno di noi puoi contattarci qui.

Fonte: (Originale) Ithemes.com

Riepilogo vulnerabilità di wordpress: maggio 2019 Parte II°

Con questo articolo vogliamo tenerti informato sulle vulnerabilità di wordpress (Plugin e temi)che sono state divulgate durante l’ultima metà del mese di maggio 2019

Vulnerabilità dei plugin di WordPress

Sono state scoperte diverse nuove vulnerabilità dei plugin per WordPress. Assicurati di seguire l’azione suggerita per aggiornare il plugin o disinstallarlo completamente.

1. Live Chat with Facebook Messenger by zotabox

Il Live Chat with Facebook Messenger, versione 1.4.6 e seguenti, è vulnerabile a un attacco di scripting cross-site.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 1.4.7.

2. Newsletter Manager by xyzscripts.com
Il plugin di Newsletter Manager è vulnerabile a un reindirizzamento aperto non autenticato. L’input dell’evento non è stato disinfettato, creando un exploit XSS.
WordPress.org ha chiuso il plugin di Newsletter Manager, quindi rimuovi il plugin e trova una sostituzione.

3. ConvertPlus
Convert Plus versione 3.4.2 e inferiore è vulnerabile a un attacco di creazione di un ruolo utente arbitrario non autenticato. Utilizzando l’exploit, gli aggressori possono creare nuovi utenti Admin senza nemmeno dover accedere al tuo sito web. Una volta che un cattivo utente ha accesso amministrativo al tuo sito, può reindirizzare i visitatori del tuo sito a siti dannosi, bloccare l’accesso e aggiungere malware al tuo sito.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 3.4.3.

4. WP Booking System
Il plug-in del sistema di prenotazione di WP versione 1.5.1.1 e inferiore è vulnerabile a un attacco di contraffazione di richiesta tra siti. I sistemi di prenotazione di WP non includevano gli attacchi CSRF che avrebbero potuto portare a un utente malintenzionato di ignorare i requisiti di privilegio dell’amministratore ed eseguire un’iniezione SQL.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 1.5.2.

5. FV Flowplayer Video Player
La versione 7.3.14.727 di Video Player di FV Flowplayer e versioni successive aveva tre diverse vulnerabilità divulgate questo mese. Il plugin era vulnerabile agli attacchi XSS, SQL Injection e CSV Export non autenticati.
Se un utente malintenzionato ha sfruttato le vulnerabilità, avrebbe consentito loro di fornire un input e-mail e di visualizzarlo nella schermata di esportazione della posta elettronica. La vulnerabilità di SQL Injection era legata all’abbonamento alla posta elettronica e la terza vulnerabilità consentiva agli utenti ospiti di creare un’esportazione CSV dell’abbonamento alla posta elettronica.
Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 7.3.15.727.

6. Slimstat Analytics
Slimstat Analytics versione 4.8 e inferiore è vulnerabile a un attacco XSS memorizzato non autenticato. La vulnerabilità consentirebbe a qualsiasi visitatore del sito di inserire codice JavaScript arbitrario nel log di accesso dei plug-in. Come riportato da Sucuri:

Un utente malintenzionato potrebbe creare una richiesta di analisi fingendo che il suo browser abbia un plug-in appositamente predisposto per inserire codice arbitrario nel registro di accesso del plugin. Questo verrà eseguito una volta che un amministratore accede.

La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 4.8.1.

7. Form Maker by 10Web

Form Maker di 10Web versione 1.13.2 e seguenti è vulnerabile a un’iniezione SQL autenticata. Come riportato da Daniele Scanu, sarebbe possibile eseguire un’iniezione SQL nella funzione get_labels_parameters nel file `form-maker / admin / models / Submissions_fm.php` con un valore artigianale del parametro asc_or_desc.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 1.13.3.

8. Simple File List Plugin
Simple File List Plugin versione 3.2.4 e inferiore è vulnerabile a un attacco di download di file arbitrario non autenticati. La vulnerabilità consente a qualsiasi utente che conosce la richiesta di scaricare l’elenco di file, che può esporre informazioni riservate.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 3.2.4.

9. Slick Popup
Slick Popup è vulnerabile a un attacco di escalation di privilegi. La vulnerabilità consente agli abbonati di creare un account amministratore con credenziali di accesso hardcoded. Puoi utilizzare questa combinazione di HERNCODED USERNAME e PASSWORD.
Nome utente: slickpopupteam (Più simile a non-slick)
Password: OmakPass13#
WordPress.org ha chiuso Slick Popup Manager nel maggio 2019, quindi suggerirei di rimuovere il plug-in e trovare una sostituzione.

10. Hustle Pop-Ups, Slide-ins and Email Opt-ins
La versione 6.0.7 e inferiore di Hustle è vulnerabile a un attacco di Injection CSV non autenticato. L’exploit consente a un utente malintenzionato di immettere codice dannoso in una finestra popup. L’attore malintenzionato potrebbe quindi iniettare codice dannoso sul computer dell’amministratore tramite una funzione di Excel.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 6.0.8.1.

Conclusioni

Concludiamo ricordandoti che il software obsoleto è il numero uno dei motivi per cui i siti vengono violati. Purtroppo due delle vulnerabilità rivelate in questo articolo non sono state riparate. Lasciare software obsoleto sul tuo sito ti lascerà vulnerabile agli attacchi rimuovi i plugin che ti abbiamo segnalato e se non sai quale strada alternativa percorrere non esitare a contattarci.

Fonte: ithemes.com
Traduzione: NOVA SYSTEMI

Riepilogo delle vulnerabilità di WordPress: maggio 2019

Le nuove vulnerabilità del plugin WordPress sono state divulgate questo mese, quindi vogliamo tenerti informato.
In questo post dividiamo le vulnerabilità relative a WordPress di questo mese in quattro diverse categorie:

  • 1. WordPress Core
  • 2. Plugin WordPress
  • 3. Temi di WordPress
  • 4. Violazioni da tutto il Web *

* Includiamo violazioni da tutto il Web in questo post, perché è importante conoscere anche le vulnerabilità al di fuori dell’ecosistema WordPress. Gli exploit al software server possono esporre dati sensibili. Le violazioni del database possono esporre le credenziali per gli utenti sul tuo sito web, aprendo la porta agli hacker per accedere al tuo sito

WordPress Core Vulnerabilities

Nessuna vulnerabilità di rilievo nel core di WordPress è stata divulgata nel maggio 2019.

Vulnerabilità dei plugins WordPress

  • 1. Blog Designer
    • Il plug-in di Blog Designer, versione 1.8.10 e inferiore, è vulnerabile a un attacco di cross-site scripting (XSS). Come riportato da WebARX, un utente non autenticato può inviare una richiesta di post per aggiornare le impostazioni del plugin.
    • La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 1.8.11.
  • 2. All-in-One Event Calendar
    • All-in-One Event Calendar 2.5.38 e versioni successive è vulnerabile a un attacco di scripting cross-site. L’input dell’evento non è stato disinfettato, creando un exploit XSS.
    • La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 2.5.39.
  • 3. W3 Total Cache
    • W3 Total Cache 0.9.7.3 del plugin e di seguito ha avuto tre diverse vulnerabilità divulgate questo mese.
      La prima vulnerabilità è un exploit SSRF che può essere sfruttato sfruttando un attacco RCE. La seconda vulnerabilità è un attacco di scripting cross-site. La terza vulnerabilità consente un bypass del controllo crittografico.
    • Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 0.9.7.4.
  • 4. Ninja Forms File Uploads Extension
    • Ninja Forms File Uploads Extension 3.0.22 è vulnerabile ad un exploit di caricamento di file arbitrario. Un sito dovrebbe avere Ninja Forms installato e avere l’estensione di caricamento file abilitata per consentire a qualcuno di sfruttare l’exploit. Onvio ha riferito che un utente malintenzionato può eseguire codice dannoso utilizzando l’exploit.
    • Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 3.0.23.
  • 5. Ultimate Member
    • La versione 2.0.45 di Ultimate Member e di seguito è vulnerabile a un exploit di lettura ed eliminazione di file arbitrari e a due diversi attacchi cross-scripting. Sucuri ha riferito che questo exploit molto serio potrebbe consentire a un utente malintenzionato di rilevare il tuo sito web.
    • Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 2.0.46.
  • 6. Custom Field Suite
      Custom Field Suite versione 2.5.14 e inferiore è vulnerabile a un attacco di script cross-site autenticato. Vale la pena ricordare che è necessario un utente con privilegi di amministratore o amministratore per accedere per sfruttare l’exploit.
  • Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 2.5.15.

Vulnerabilità dei temi WordPress

Nessuna vulnerabilità di rilievo nei temi di WordPress è stata divulgata nel maggio 2019.

Violazioni da tutto il Web

  • 1. Codice sorgente aziendale antivirus in vendita
    Un gruppo di hacker di nome Fxmsp dichiara di aver rubato 30 terabyte di dati dalle aziende antivirus americane. Per saperne di più: hacker che vendono accesso e codice sorgente da società antivirus(Articolo in inglese).
    Questa è una storia interessante perché mostra che anche le compagnie di antivirus sono vulnerabili agli attacchi. Senza contare che nomi familiari come McAfee e Norton potrebbero essere le vittime.
  • 2. Vulnerabilità legata all’immagine Docker di Linux Alpine
  • Le versioni delle immagini Alpine Linux Docker contenevano una password NULL per l’utente root. Ciò significa che qualcuno potrebbe lasciare il login usando la radice semplicemente lasciando la password vuota. Docker è fantastico, ma è importante ricordare che un creatore di immagini potrebbe non seguire le migliori pratiche di sicurezza.
  • 3. WhatsApp
    WhatsApp di proprietà di Facebook aveva una vulnerabilità che permetteva agli hacker di installare spyware sul tuo telefono. Un utente malintenzionato doveva solo chiamarti, senza bisogno di rispondere, per installare il software di sorveglianza sul tuo iPhone o dispositivo Android. Ciò che rende l’exploit più sgradevole è che potrebbero rimuovere la chiamata dal log, rimuovendo ogni traccia dell’attacco.
    Se sei un utente di WhatsApp, assicurati di utilizzare l’ultima versione dell’app.
  • 4. OKC Public Schools
    Sfortunatamente, le scuole non sono off-limits dei malvagi online. Le scuole pubbliche di Oklahoma City hanno dovuto chiudere la loro rete a causa di Ransomware. A partire da ora, OKCPS non ha rivelato quali informazioni sono state compromesse. 

    Conclusioni

    Concludiamo ricordandoti che il software obsoleto è il numero uno dei motivi per cui i siti vengono violati. Ogni vulnerabilità che è stata rivelata finora questo mese è stata riparata. Lasciare software obsoleto sul tuo sito ti lascerà vulnerabile agli attacchi.

    Fonte: ithemes.com
    Traduzione: NOVA SYSTEMI