WordPress, grossi problemi per un famoso plugin

Un diffusissimo plugin per la piattaforma di pubblicazione WordPress è finito agli onori delle cronache per la presenza di due bug critici.

WordPress è uno dei CMS (Content management system o sistema di gestione dei contenuti) più diffusi in assoluto. Per chi vuole gestire un proprio blog o ambire a qualcosa di più evoluto e complesso come un’e-commerce le possibilità offerte sono innumerevoli.

Per ampliare alcune funzionalità, però, è necessario installare dei componenti aggiuntivi (plugin) scritti da terze parti su cui gli autori di WordPress non possono offrire garanzie. Né in tema di supporto e aggiornamenti, né sulla sicurezza.

Per questo, molto spesso, le estensioni rappresentano uno dei punti deboli del CMS, bersagliati da botnet e hacker per scovare falle e prendere possesso integralmente del sito WordPress.

Questa volta è il turno di una famosissma – si contano circa 800.000 installazioni attive – ed usatissima estensione: NextGen Gallery, disponibile anche nel repository di wordpress.org.

Il plugin, usato per creare gallerie e griglie fotografiche, presenterebbe due vulnerabilità critiche – come riportato sul portale di sicurezza informatica Bleeping Computer – che sarebbero state scoperte dal gruppo Threat Intelligence.

Un plugin WordPress che va sicuramente aggiornato

Si tratta in entrambi i casi di criticità CSRF (Cross-Site Request Forgery). Ossia di vulnerabilità che, nel caso della CVE-2020-35942, potrebbero portare ad attachi XSS (cross-site scripting) o all’esecuzione di codice remoto (RCE).

Se sfruttate, le conseguenze delle due falle sarebbero di vario tipo: dalla compromissione integrale del sito – con l’accesso completo ai privilegi di admin – sino all’immisione di link di spam o di phishing all’interno del codice delle pagine (le cosiddette injection). O peggio che mai di backdoor.

Ma non è tutto così facile come sembra. Secondo il team di Wordfence, nota suite di sicurezza per siti basati su WordPress, la messa in opera delle due falle non sarebbe poi così semplice.

LEGGI ANCHE >>> Civiltà online, miglioramento a livello mondiale: i rischi più frequenti

Servirebbe, infatti, la collaborazione inconsapevole dell’amministratore che a sua volta dovrebbe cliccare su dei link o eseguire degli script in locale. Insomma, ok le falle, ma sarebbe necessario anche un convincente intervento di ingegneria sociale come narra Kevin Mittnick nei suoi libri.

POTREBBE INTERESSARTI >>> WordPress, a rischio 4,3 milioni di siti per una vulnerabilità

I bug sono stati risolti lo scorso dicembre da Imagely su segnalazione del team di Wordfence. Risultano, però, oltre 500.000 i siti ancora esposti alla vulnerabilità.

Il suggerimento, nel caso foste non lo aveste già fatto, è quello di provvedere il prima possibile all’aggiornamento.