Oltre un milione di siti WordPress che usano AIOS sono a rischio dai loro stessi amministratori

Redazione RHC : 17 Luglio 2023 13:57

Gli sviluppatori del plugin All-In-One Security (AIOS), installato su più di un milione di siti, hanno rilasciato una patch. Gli utenti del plug-in hanno recentemente scoperto che il software ricorda le password in formato testo e le memorizza in un database accessibile agli amministratori del sito.

Un bug con il salvataggio delle password è stato scoperto all’interno dei forum di WordPress circa tre settimane fa. L’utente, che ha notato lo strano comportamento del plug-in, ha espresso preoccupazione per il fatto che, a causa di ciò, la sua organizzazione non avrebbe superato l’imminente controllo di sicurezza da parte di revisori di terze parti. 

Lo stesso giorno, un rappresentante AIOS gli ha detto che “questo è un bug noto nell’ultima versione” e ha anche fornito uno script che avrebbe dovuto eliminare i dati salvati. L’utente ha segnalato che lo script non funzionava.

Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AI Vuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso: L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Come si è scoperto, AIOS salvava automaticamente le password quando gli utenti effettuavano l’accesso e il database con questi dati risulta disponibile agli amministratori del sito. Gli sviluppatori spiegano che ciò è accaduto a seguito di un bug apparso a maggio di quest’anno, nella versione 5.1.9. La versione 5.2.0, rilasciata questa settimana, il quale avrebbe dovuto risolvere il problema e rimuovere anche i dati raccolti dal plugin.

I rappresentanti di AIOS sottolineano che per sfruttare questa vulnerabilità è necessario accedere al sistema con privilegi di amministratore o equivalenti. Cioè, solo un amministratore infedele potrebbe trarre vantaggio dal bug, “che potrebbe già fare queste cose, in quanto è un amministratore”.

Vale la pena notare che anche dopo il rilascio di AIOS 5.2.0, gli utenti si sono lamentati del fatto che l’aggiornamento “interrompe” i loro siti, ma non rimuove le password raccolte in precedenza. La versione 5.2.1 di AIOS è stata rilasciata per risolvere questo problema, ma alcuni utenti affermano ancora che i loro siti non funzionano.

Inoltre, ora i manutentori di AIOS sono criticati dagli esperti di sicurezza delle informazioni, affermando che dovrebbero avvisare tutti gli utenti interessati delle password salvate in modo che le persone possano reimpostare le proprie credenziali. Ciò è particolarmente vero nei casi in cui gli stessi accessi e password sono stati utilizzati su più siti.

Gli esperti hanno da tempo messo in guardia contro l’archiviazione delle password in chiaro, dato che gli hacker possono entrare in modo relativamente semplice in un sito e rubare i dati archiviati in un database. In questo contesto, l’archiviazione di password non crittografate in qualsiasi database, indipendentemente da chi vi ha accesso, rappresenta una grave violazione della sicurezza.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli