Redazione RHC : 17 Luglio 2023 13:57
Gli sviluppatori del plugin All-In-One Security (AIOS), installato su più di un milione di siti, hanno rilasciato una patch. Gli utenti del plug-in hanno recentemente scoperto che il software ricorda le password in formato testo e le memorizza in un database accessibile agli amministratori del sito.
Un bug con il salvataggio delle password è stato scoperto all’interno dei forum di WordPress circa tre settimane fa. L’utente, che ha notato lo strano comportamento del plug-in, ha espresso preoccupazione per il fatto che, a causa di ciò, la sua organizzazione non avrebbe superato l’imminente controllo di sicurezza da parte di revisori di terze parti.
Lo stesso giorno, un rappresentante AIOS gli ha detto che “questo è un bug noto nell’ultima versione” e ha anche fornito uno script che avrebbe dovuto eliminare i dati salvati. L’utente ha segnalato che lo script non funzionava.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Come si è scoperto, AIOS salvava automaticamente le password quando gli utenti effettuavano l’accesso e il database con questi dati risulta disponibile agli amministratori del sito. Gli sviluppatori spiegano che ciò è accaduto a seguito di un bug apparso a maggio di quest’anno, nella versione 5.1.9. La versione 5.2.0, rilasciata questa settimana, il quale avrebbe dovuto risolvere il problema e rimuovere anche i dati raccolti dal plugin.
I rappresentanti di AIOS sottolineano che per sfruttare questa vulnerabilità è necessario accedere al sistema con privilegi di amministratore o equivalenti. Cioè, solo un amministratore infedele potrebbe trarre vantaggio dal bug, “che potrebbe già fare queste cose, in quanto è un amministratore”.
Vale la pena notare che anche dopo il rilascio di AIOS 5.2.0, gli utenti si sono lamentati del fatto che l’aggiornamento “interrompe” i loro siti, ma non rimuove le password raccolte in precedenza. La versione 5.2.1 di AIOS è stata rilasciata per risolvere questo problema, ma alcuni utenti affermano ancora che i loro siti non funzionano.
Inoltre, ora i manutentori di AIOS sono criticati dagli esperti di sicurezza delle informazioni, affermando che dovrebbero avvisare tutti gli utenti interessati delle password salvate in modo che le persone possano reimpostare le proprie credenziali. Ciò è particolarmente vero nei casi in cui gli stessi accessi e password sono stati utilizzati su più siti.
Gli esperti hanno da tempo messo in guardia contro l’archiviazione delle password in chiaro, dato che gli hacker possono entrare in modo relativamente semplice in un sito e rubare i dati archiviati in un database. In questo contesto, l’archiviazione di password non crittografate in qualsiasi database, indipendentemente da chi vi ha accesso, rappresenta una grave violazione della sicurezza.
RedazioneCon l’emergere dei Large Language Models (LLM), come Grok 3, GPT-4, Claude e Gemini, l’attenzione della comunità scientifica si è spostata dalla semplice accuratezza delle risp...
Negli ultimi 3 anni, l’intelligenza artificiale generativa, in particolare i modelli linguistici di grandi dimensioni (LLM), hanno rivoluzionato il modo in cui interagiamo con le macchine, perm...
“Ora che il genio è uscito dalla lampada, è impossibile rimetterlo dentro!”. Quante volte abbiamo scritto queste parole riguarda l’intelligenza artificiale? Ora che il g...
I ricercatori di Huntress hanno rilevato lo sfruttamento attivo di una vulnerabilità critica in Wing FTP Server, appena un giorno dopo la sua divulgazione pubblica. La vulnerabilità CVE-2025...
Secondo Trellix, il gruppo DoNot APT ha recentemente condotto una campagna di spionaggio informatico in più fasi, prendendo di mira il Ministero degli Affari Esteri italiano. Il gruppo, attribuit...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
