È stata scoperta una vulnerabilità in WPFormsun plugin per WordPress utilizzato da più di sei milioni di siti. Come riportato dai nostri colleghi di Bleeping Computer, la violazione è stata scoperta da un ricercatore di sicurezza che si fa chiamare villu164 alla fine di ottobre. Il ricercatore ha quindi informato il team di WordFence, un plugin di sicurezza per WordPress. In cambio della sua scoperta, pochi giorni dopo ricevette una taglia di 2.376 dollari.
Leggi anche: I dati di 125 milioni di utenti Internet sono stati esposti da 900 siti web
Rimborsi non autorizzati
Disponibile in versione a pagamento o gratuita con limitazioni, il plugin ti consente di creare facilmente moduli personalizzati per i siti WordPress. È possibile progettare moduli di contatto, moduli di feedback, moduli di iscrizione e moduli di pagamento. È compatibile con diversi gestori di pagamenti online, tra cui PayPal e Stripe.
Sfruttando la falla, è probabile che un utente Internet lo facciaemettere un rimborso su Stripe senza il consenso degli amministratori del sito. Di fatto, un consumatore può ottenere un rimborso da un negozio online dopo aver effettuato un ordine.
“Questa vulnerabilità consente agli utenti malintenzionati autenticati, con diritti di abbonamento o superiori, di rimborsare i pagamenti Stripe e annullare gli abbonamenti Stripe, anche se non dovrebbero avere questo tipo di autorizzazione”sottolinea WordFence nel suo rapporto.
Inoltre, l'utente può annullare un abbonamento arbitrariamente. Questo è ovviamente drammatico per tutti i proprietari di siti web. La vulnerabilità mette effettivamente a rischio il loro reddito.
Il malfunzionamento risiede in una funzione destinata a verificare se una richiesta proviene da una pagina o da un percorso amministrativo (ad esempio, la dashboard di WordPress). Tuttavia, non controlla le autorizzazioni dell'utente che effettua la richiesta. In altre parole, non garantisce che l’utente che effettua la richiesta disponga dei diritti necessari per accedere a questi dati o a queste azioni. In definitiva, qualsiasi utente può impartire comandi riservati agli amministratori.
È stata distribuita una correzione
Sono interessate le versioni 1.8.4 e fino alla 1.9.2.1 del plugin. Per correggere la situazione, gli sviluppatori di Awesome Motive, il gruppo dietro WPForms, hanno integrato una correzione all'interno del file aggiornamento del plugin 1.9.2.2.
WordFence incoraggia “Gli utenti di WordPress devono verificare che i loro siti siano aggiornati con l'ultima versione patchata di WPForms il prima possibile data la natura critica di questa vulnerabilità”. Secondo le statistiche di WordPress, più di tre milioni di siti sono ancora vulnerabili.
Non è la prima volta che un difetto in un popolare plugin di WordPress mette a rischio milioni di siti web. Il mese scorso, una falla in Really Simple Security, un plugin WordPress incentrato sulla sicurezza, ha consentito a un utente malintenzionato remoto di ottenere l’accesso completo come amministratore a oltre 4 milioni di siti. Alcuni mesi prima, una vulnerabilità nel plugin Popup Builder aveva causato l’hacking di migliaia di siti.
???? Per non perdere nessuna novità di 01net, seguici su Google News e WhatsApp.
Fonte :
Computer che suona
