Un bug dei plugins InfiniteWP Client e WP Time Capsule permette di bypassare l’autenticazione del famoso CMS lasciando vulnerabili moltissimi siti.
Due plugins di WordPress, InfiniteWP Client e WP Time Capsule, sono da un bug che consente di di accedere al back-end di un sito senza password.
E’ necessario un utente admin per i plugin di WordPress riuscendo così ad accedere al backend del CMS.
Nuova vulenarabilità di tipo Cross-Site Scripting mette in pericolo la sicurezza di milioni di siti web con WordPress in tutto il mondo. Attraverso la nuova vulnerabilità i malintenzionati potrebbero eseguire codice remoto sul Web server che ospita WordPress e prenderne il controllo.
La vunerabilità è stata scoperta da Jouko Pynnonen “ricercatore finlandese” ed affligge le versioni di WordPress 3.9.3, 4.1.1, 4.1.2, fino all’ultima versione 4.2. L’exploit non è stato ancora distribuito al pubblico ed è di tipo Cross-Site Scripting (XSS) presente nel sistema dei commenti integrato in WordPress.
Il famoso plugin di caching “WP Super Cache” attualmente utilizzato su oltre un milione di siti in WordPress è stato dichiarato affetto da una vulnerabilità XSS (cross-site scripting).
Attraverso questa vulnerabilità i malintenzionati possono eseguire script per fare molte cose ad esempio creare nuovi account di amministrazione, o iniettare backdoor. Se avete installato il plugin in questione è consigliato l’aggiornamento urgente all’ultima versione 1.4.4, che risolve il problema di sicurezza unitamente ad altri bugs.
Per effettuare l’aggiornamento è necessario accedere alla propria installazione di WordPress, nel caso si verificano incompatibilità è preferibile disattivare il plugin a rischio. È possibile scaricare l’ultima versione e visualizzare il changelog all’indirizzo web: https://wordpress.org/plugins/wp-super-cache/changelog/
Per maggiori informazioni contattare il nostro supporto clienti oppure consultare l’indirizzo web: http://blog.sucuri.net/2015/04/security-advisory-persistent-xss-in-wp-super-cache.html