Redazione RHC : 17 Luglio 2023 13:57
Gli sviluppatori del plugin All-In-One Security (AIOS), installato su più di un milione di siti, hanno rilasciato una patch. Gli utenti del plug-in hanno recentemente scoperto che il software ricorda le password in formato testo e le memorizza in un database accessibile agli amministratori del sito.
Un bug con il salvataggio delle password è stato scoperto all’interno dei forum di WordPress circa tre settimane fa. L’utente, che ha notato lo strano comportamento del plug-in, ha espresso preoccupazione per il fatto che, a causa di ciò, la sua organizzazione non avrebbe superato l’imminente controllo di sicurezza da parte di revisori di terze parti.
Lo stesso giorno, un rappresentante AIOS gli ha detto che “questo è un bug noto nell’ultima versione” e ha anche fornito uno script che avrebbe dovuto eliminare i dati salvati. L’utente ha segnalato che lo script non funzionava.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Come si è scoperto, AIOS salvava automaticamente le password quando gli utenti effettuavano l’accesso e il database con questi dati risulta disponibile agli amministratori del sito. Gli sviluppatori spiegano che ciò è accaduto a seguito di un bug apparso a maggio di quest’anno, nella versione 5.1.9. La versione 5.2.0, rilasciata questa settimana, il quale avrebbe dovuto risolvere il problema e rimuovere anche i dati raccolti dal plugin.
I rappresentanti di AIOS sottolineano che per sfruttare questa vulnerabilità è necessario accedere al sistema con privilegi di amministratore o equivalenti. Cioè, solo un amministratore infedele potrebbe trarre vantaggio dal bug, “che potrebbe già fare queste cose, in quanto è un amministratore”.
Vale la pena notare che anche dopo il rilascio di AIOS 5.2.0, gli utenti si sono lamentati del fatto che l’aggiornamento “interrompe” i loro siti, ma non rimuove le password raccolte in precedenza. La versione 5.2.1 di AIOS è stata rilasciata per risolvere questo problema, ma alcuni utenti affermano ancora che i loro siti non funzionano.
Inoltre, ora i manutentori di AIOS sono criticati dagli esperti di sicurezza delle informazioni, affermando che dovrebbero avvisare tutti gli utenti interessati delle password salvate in modo che le persone possano reimpostare le proprie credenziali. Ciò è particolarmente vero nei casi in cui gli stessi accessi e password sono stati utilizzati su più siti.
Gli esperti hanno da tempo messo in guardia contro l’archiviazione delle password in chiaro, dato che gli hacker possono entrare in modo relativamente semplice in un sito e rubare i dati archiviati in un database. In questo contesto, l’archiviazione di password non crittografate in qualsiasi database, indipendentemente da chi vi ha accesso, rappresenta una grave violazione della sicurezza.
RedazioneIn data odierna – avverte il Cert-AGiD – sono pervenute segnalazioni da parte di Pubbliche Amministrazioni riguardo a una campagna malevola mirata diffusa in queste ore. Email malevola L...
Un’implementazione di sicurezza urgente è stata distribuita da Apple per iOS e iPadOS al fine di sanare una falla critica zero-day. Questa vulnerabilità, riconosciuta con l’ide...
Un esperto di sicurezza informatica ha individuato falle zero-day che coinvolgono undici noti gestori di password, mettendo a rischio potenzialmente decine di milioni di utenti per il furto di credenz...
Un Initial Access Broker mette in vendita accesso ai server di Nike USA in un celebre forum underground. Un post apparso recentemente su un forum del dark web ha sollevato nuove preoccupazioni in meri...
Il Cyberpandino ha compiuto l’impensabile: attraversare continenti, deserti e catene montuose fino a raggiungere il traguardo del Mongol Rally. Un’impresa folle e visionaria, nata dall&#...
