Secondo un recente sondaggio un plugin per WordPress installato su più di un milione di siti web basati sulla famosa piattaforma conteneva quattro gravi vulnerabilità. Chiamato Ninja Forms, viene utilizzato per generare moduli drag-and-drop da utilizzare nei tuoi forum e blog e deve essere aggiornato il prima possibile per evitare l’abuso di tali difetti.
Approfondimenti sulla questione
Secondo quanto riportato su Wordfence, infatti, i moduli creati tramite questo plug-in potrebbero essere utilizzati per prendere il controllo di un sito WordPress e reindirizzare gli amministratori a portali dannosi in maniera arbitraria. utilizzando la funzione wp_safe_redirect , ma questa è solo una delle tre vulnerabilità.
La seconda scoperta degli esperti in questione ha consentito agli aggressori di intercettare il traffico di posta elettronica della vittima, a patto di avere accesso ad un account premium; il terzo, infine, consentiva agli aggressori di accedere alla dashboard dedicata alla gestione centrale di Ninja Forms ottenendo l’accesso alla chiave di autenticazione, ma consentiva anche agli aggressori di disconnettere l’autenticazione OAuth dal sito target.
Chloe Chamberland, un membro del Wordfence Threat Intelligence Team, ha spiegato: “Nel post di oggi abbiamo descritto quattro difetti nel plug-in Ninja Forms che garantiva agli aggressori la possibilità di ottenere informazioni sensibili consentendo loro di reindirizzare gli utenti amministrativi. Questi bug sono stati completamente corretti nella versione 3.4.34.1. Si consiglia agli utenti di eseguire immediatamente l’aggiornamento all’ultima versione disponibile, che è la versione 3.5.0 al momento di questa pubblicazione “ .
Alle vulnerabilità sono stati assegnati diversi livelli di gravità, con il punteggio CVSS più pericoloso registrato pari a 9,9. Fortunatamente, i proprietari di Ninja Forms hanno rilasciato una correzione iniziale il 25 gennaio, che è stata completata l’8 febbraio; quindi se usi Ninja Forms, aggiorna il plug-in ora.
Sempre in tema di sicurezza informatica è stato recentemente pubblicato un archivio contenente 3,27 miliardi di password raccolte da varie violazioni dei dati; oppure il software PDF Nitro è stato violato alla fine di gennaio e sono stati pubblicati i dati sensibili di circa 77 milioni di utenti.