Aggiornamenti recenti Novembre 21st, 2024 2:11 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Google scopre 26 nuove vulnerabilità con l’IA di OSS-Fuzz
- Una grave data breach ha colpito le aziende statunitensi di telecomunicazioni
- Scoperta una nuova variante del ransomware Helldown che colpisce Linux
- Una vulnerabilità di un plugin di WordPress mette a rischio più di 4 milioni di siti
- Le falle di sicurezza nei toolkit ML più diffusi
Il plugin Social Login di WordPress soffre di una vulnerabilità critica
I ricercatori di sicurezza di Wordfence hanno individuato una vulnerabilità presente nei plugin di miniOrange Social Login e Register usati su WordPress e attivi su più di 30.000 siti.
Il plugin permette di eseguire il login tramite social e di condividere contenuti WordPress sulla piattaforma dalla quale si è fatto l’accesso, come Facebook, LinkedIn, Twitter, Discord o Twitch.
La vulnerabilità, identificata come CVE-2023-2982, ha ricevuto un punteggio di 9,8 su 10 ed è quindi catalogata come critica. I plugin di WordPress si sono rivelati vulnerabili agli attacchi di authentication bypass: un attaccante non autenticato è in grado di accedere a qualsiasi account del sito, compreso quello di amministratore, una volta entrato in possesso delle email di registrazione.
Credits: mishoo- Depositphotos
Nel dettaglio, il problema sta nel modo in cui viene memorizzata la chiave di cifratura per le informazioni di login: nelle versioni vulnerabili del plugin, la chiave è codificata direttamente nel codice. Una volta entrati in possesso della chiave, gli attaccanti possono creare delle richieste ad hoc contenenti l’email della vittima per bypassare la fase di autenticazione e compromettere l’intero sito.
La vulnerabilità colpisce la versione 7.6.4 dei plugin e tutte le precedenti. Wordfence ha avvertito miniOrange della vulnerabilità e la società ha rilasciato una prima patch il 12 giugno, nella quale era però presente un altro bug; due giorni dopo, il 14 giugno, miniOrange ha rilasciato l’aggiornamento definitivo nella versione 7.6.5.
Wordfence e miniOrange invitano gli utenti WordPress a controllare la presenza dei plugin ed eventualmente aggiornarlo all’ultima versione rilasciata. Gli utenti Wordfence Premium, Wordfence Care e Wordfence Response dovrebbero già aver ricevuto un firewall per proteggersi dalla vulnerabilità, ma è comunque fondamentale aggiornare la versione dei plugin il prima possibile.
Condividi l'articolo
ThirdEye, un nuovo infostealer russo che migliora a vista d'occhio
Nuove tecniche di social engineering sfruttano le notifiche del browser
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Google scopre 26 nuove vulnerabilità con l’IA di... Google ha annunciato di aver trovato 26 nuove... -
Aumentano le compromissioni di account email delle forze... L’FBI ha lanciato un allarme: stando a un avviso... -
Scoperta CRON#TRAP, campagna che emula ambienti Linux per... I ricercatori di Securonix hanno scoperto CRON#TRAP, una... -
Report APT ESET: i gruppi filo-cinesi e iraniani... Le minacce APT sono in aumento e in molti casi stanno... -
Kaspersky ha collaborato a Synergia II, operazione... Kaspersky ha collaborato a Synergia II, operazione...
Minacce recenti
Off topic
-
Cyberinsurance: misurare il rischio umano può... Negli ultimi anni sempre più aziende stanno sottoscrivendo... -
Il machine learning di Kaspersky aumenta la capacità di... Grazie al machine learning, il Global Research and Analysis... -
I vertici aziendali non sono del tutto pronti alle nuove... Il 2024 è l’anno delle nuove normative di sicurezza:... -
Più della meta delle aziende geo-distribuite ha problemi... Una delle sfide principali delle aziende distribuite sul... -
In Microsoft le paghe dei manager dipenderanno dal livello... L’ultimo non è stato un buon anno per Microsoft:...
Post recenti
-
Google scopre 26 nuove vulnerabilità con l’IA di... Google ha annunciato di aver trovato 26 nuove...
-
Una grave data breach ha colpito le aziende statunitensi di... Una campagna di spionaggio a opera di hacker cinesi ha... -
Scoperta una nuova variante del ransomware Helldown che... I ricercatori di Sekoia hanno individuato una nuova... -
Una vulnerabilità di un plugin di WordPress mette a... István Márton, ricercatore di Wordfence, ha individuato... -
Le falle di sicurezza nei toolkit ML più diffusi La sicurezza dei toolkit ML continua a essere minacciata...
Ransomware: la serie
No posts found.
