12 milioni di siti WordPress a rischio per un bug su Elementor Pro

Redazione RHC : 2 Aprile 2023 11:28

Gli attori delle minacce stanno attivamente sfruttando una vulnerabilità di sicurezza recentemente corretta nel plug-in per la creazione di siti Web Elementor Pro per WordPress.

Si stima che il plug-in premium venga utilizzato su oltre 12 milioni di siti.

Il difetto, descritto come broken access control, ha un impatto sulle versioni 3.11.6 e precedenti. È stato risolto dai manutentori del plugin nella versione 3.11.7 rilasciata il 22 marzo.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence".  A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.   Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.  Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Migliorata l’applicazione della sicurezza del codice nei componenti di WooCommerce”, ha affermato la società con sede a Tel Aviv nelle sue note di rilascio. 

Lo sfruttamento riuscito del difetto ad alta gravità consente a un utente malintenzionato autenticato di completare un’acquisizione di un sito WordPress su cui è abilitato WooCommerce.

“Ciò consente a un utente malintenzionato di attivare la pagina di registrazione (se disabilitata) e impostare il ruolo utente predefinito su amministratore in modo da poter creare un account che abbia immediatamente i privilegi di amministratore”, ha affermato Patchstack in un avviso del 30 marzo, 2023.

“Dopo questo, è probabile che i malintenzionati reindirizzino il sito a un altro dominio dannoso o carichino un plug-in dannoso o una backdoor per sfruttare ulteriormente il sito”.

Il merito di aver scoperto e segnalato la vulnerabilità il 18 marzo 2023 è del ricercatore di sicurezza di NinTechNet Jerome Bruandet.

Patchstack ha inoltre notato che il difetto è attualmente oggetto di abusi da parte di diversi indirizzi IP che intendono caricare file di archivio PHP e ZIP arbitrari.

Si consiglia agli utenti del plug-in Elementor Pro di eseguire l’aggiornamento alla versione 3.11.7 o 3.12.0, che è l’ultima versione, il prima possibile per mitigare potenziali minacce.

La scorsa settimana, WordPress ha rilasciato aggiornamenti automatici per correggere un altro bug critico nel plug-in WooCommerce Payments che consentiva agli aggressori non autenticati di ottenere l’accesso come amministratore a siti vulnerabili.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli