adv

Bug di esecuzione del codice in modalità remota riscontrato nel popolare plug-in di backup di WordPress

Bug di esecuzione del codice in modalità remota riscontrato nel popolare plug-in di backup di WordPress

Un plug-in di migrazione del backup senza patch potrebbe portare all’iniezione di codice PHP sui siti WordPress.

I cacciatori di bug hanno scoperto un difetto in un popolare plug-in di WordPress che potrebbe portare gli autori delle minacce a eseguire attacchi di iniezione di codice su siti Web vulnerabili.

Il plug-in in questione, Backup Migration, fa più o meno quello che promette ed è installato su più di 90.000 siti WordPress.

Il bug è stato segnalato agli specialisti della sicurezza di WordPress WordFence, come parte di un programma di bug bounty annunciato di recente. L’Holiday Bug Extravaganza è stato lanciato a novembre e il bug della migrazione di backup è stato segnalato il 5 dicembre.

Il 6 dicembre WordFence ha rilasciato una regola firewall per proteggere i propri clienti e lo stesso giorno ha contattato anche gli sviluppatori del plug-in vulnerabile BackupBliss. Nel giro di poche ore BackupBliss ha rilasciato la propria patch.

“Abbiamo contattato il team di BackupBliss, creatore del plug-in Backup Migration, lo stesso giorno in cui abbiamo rilasciato la nostra regola firewall”, ha detto un portavoce di WordFence in un post sul blog. “Dopo aver fornito tutti i dettagli, il team ha rilasciato una patch poche ore dopo. Complimenti al team di BackupBliss per la risposta e la patch incredibilmente rapide.”

Il bug interessa tutte le versioni di Backup Migration precedenti alla 1.3.7 inclusa. La versione più aggiornata del plug-in e quella che risolve il bug è la 1.3.8.

Il nocciolo del problema risiede nel file /includes/backup-heart.php del plug-in. Un utente malintenzionato può controllare quali valori vengono passati al plug-in in un include tramite questo file e quindi utilizzarlo per avviare l’esecuzione di codice remoto su un server WordPress.

Senza patch, i server rimangono vulnerabili e WordFence invita gli utenti a patchare i propri siti il ​​prima possibile.

Supporto
1
🛎️ Chatta con noi!
Scan the code
Ciao 👋
Hai bisogno di aiuto?