All in One SEO Pack è uno dei plugin più popolari per WordPress. In realtà è il plugin più scaricato, con circa il 30 milione di download! Qualsiasi problema relativo alla sicurezza con un'applicazione così trendy sarebbe un incubo per gli utenti. Sfortunatamente, la ricerca sulla sicurezza ha rivelato una vulnerabilità all'interno del plug-in che potrebbe consentire a un utente malintenzionato di archiviare codice dannoso nel pannello di amministrazione di WP.
Ricercatore di sicurezza David Vaartjes descrive la vulnerabilità come una vulnerabilità di Cross-Site Scripting memorizzata, si trova nella funzionalità Bot Blocker del plugin WordPress All in One SEO Pack. Il ricercatore ha testato il problema sulla versione del plugin WordPress All in One SEO Pack 2.3.6.1.
Correlata: Chi gestisce WordPress antiquato e versioni Drupal?
Plugin WordPress per il pacchetto SEO All in One??
Il plugin è molto popolare, riferito “il plugin più scaricato per WordPress”. Aiuta gli utenti e i webmaster a ottimizzare automaticamente il proprio sito per i motori di ricerca fornendo semplici impostazioni da attivare e disattivare.
Dettagli sulla vulnerabilità del blocco dei bot
Esiste una vulnerabilità di Cross-Site Scripting memorizzata nella funzionalità Bot Blocker del plug-in WordPress All in One SEO Pack (1+ milioni di installazioni attive). Particolarmente interessante su questo problema è che un utente anonimo può semplicemente memorizzare il suo payload XSS nella dashboard di amministrazione semplicemente visitando il sito pubblico con un'intestazione User Agent o Referrer non valida.
Perché viene utilizzata la funzionalità Bot Blocker? La funzionalità aiuta a impedire a determinati bot di eseguire la scansione o persino di accedere a un sito Web. Il rilevamento dei bot è possibile grazie ai pattern di intestazione User Agent e Referrer. Quando l'agente utente contiene uno degli elenchi preconfigurati di nomi di bot come “Abonti”, “occhio di bue” o “Exabot” la richiesta è bloccata e a 404 viene restituito, il ricercatore spiega. Quando l'impostazione Traccia bot bloccati è abilitata (non è abilitato di default), le richieste bloccate vengono registrate nella pagina HTML senza la necessaria sanificazione o codifica dell'output. Ecco come è consentito un XSS.
Un attacco XSS-alimentato avviene quando gli attori maligni implementare script dannosi a siti web legittimi. Una vulnerabilità XSS viene sfruttata quando si, per esempio, inviare un contenuto del sito web che include incorporato dannoso JavaScript. Il sito sarà poi includere il codice nella sua risposta.
Il problema del pacchetto SEO All in One è stato risolto??
Fortunatamente per gli amministratori di WordPress che utilizzano il plugin, il bug è stato corretto nella sua ultima versione – All in One SEO Pack 2.3.7. Anche, tieni presente che l'attacco è stato testato da David Vaartjes nella versione del plugin 2.3.6.1. Le versioni precedenti potrebbero essere esposte al problema, troppo. In tutti i casi, si consiglia vivamente di eseguire l'aggiornamento all'ultima versione il prima possibile.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: