WordPress, siti a rischio: 600 mila in pericolo con il plugin WP Fastest Cache. Da poco tempo si sono accorti di questo difetto.
WordPress, come già tutti sanno, è una piattaforma ampiamente utilizzata per la creazione di siti web. Recentemente, è emerso un allarme sicurezza che riguarda oltre 600.000 siti. Il popolare plugin WP Fastest Cache, conosciuto per la sua efficacia nel migliorare la velocità di caricamento delle pagine e l’esperienza utente, presenta una grave vulnerabilità di tipo SQL injection.
Siti a rischio con il plugin WP Fastest Cache
Questo difetto di sicurezza potrebbe permettere ad hacker non autenticati di accedere ai database dei siti, mettendo a rischio dati sensibili.
La vulnerabilità, identificata come CVE-2023-6063, ha ricevuto un rating di gravità di 8.6 su 10. E coinvolge tutte le versioni del plugin precedenti alla 1.2.2. Il problema, per tutti i nerd programmatori all’ascolto, risiede nella funzione “is_user_admin” della classe “WpFastestCacheCreateCache“. Questa funzione dovrebbe controllare se un utente è amministratore, ma a causa di un trattamento improprio dell’input, un malintenzionato può manipolare i cookie per alterare la query SQL eseguita dal plugin, ottenendo così l’accesso, che chiaramente non è autorizzato, al database.
I database WordPress contengono informazioni importantissime come: dati utente, password, impostazioni di plugin e temi, tutti elementi essenziali per il funzionamento del sito. Un accesso non autorizzato a queste informazioni può avere conseguenze devastanti, dalla violazione della privacy alla perdita di dati critici.
WPScan, il team di sicurezza di Automattic, ha rivelato i dettagli tecnici della vulnerabilità e ha annunciato che il 27 novembre verrà pubblicato un proof-of-concept o verifica teorica. Questo significa che gli hacker potrebbero già avere le informazioni necessarie per sfruttare questa falla.
La soluzione a questo problema
La buona notizia è che gli sviluppatori di WP Fastest Cache hanno rilasciato la versione 1.2.2 che risolve il problema. Tuttavia, la comunicazione iniziale sul problema ha lasciato molti utenti nel dubbio, poiché il changelog del plugin menzionava solo “miglioramenti della sicurezza” senza specificare la natura del problema. Inoltre, la piattaforma Plugin Vulnerabilities ha rilevato che la correzione era inizialmente inaccessibile al pubblico, creando confusione tra gli utenti su come proteggersi.
Di fronte a questa situazione, è fondamentale che gli amministratori di siti WordPress agiscano rapidamente. La raccomandazione è di aggiornare immediatamente WP Fastest Cache alla versione 1.2.2. Se non è possibile effettuare l’aggiornamento, è consigliabile disabilitare temporaneamente il plugin o sostituirlo con un’alternativa sicura fino a quando non si può garantire che il sito sia protetto.
Questo incidente sottolinea l’importanza di mantenere i plugin e i temi di WordPress aggiornati. Gli aggiornamenti non solo offrono nuove funzionalità e miglioramenti, ma spesso includono correzioni critiche per la sicurezza. Gli amministratori di siti dovrebbero considerare l’uso di strumenti di sicurezza aggiuntivi e pratiche come backup regolari e monitoraggio della sicurezza per proteggere i loro siti da vulnerabilità simili in futuro.
Se hai bisogno di maggiori informazioni perché credi che il tuo sito web sia in pericolo da attacchi, Dialoga con noi! Saremo felici di aiutarti.
