Casa > Cyber ​​Notizie > Vulnerabilità del plug-in di conformità al GDPR di WP sfruttate negli attacchi
CYBER NEWS

WP GDPR Compliance Plugin vulnerabilità sfruttate in attacchi

Avete usato il plugin per WordPress GDPR chiamato WP GDPR Compliance? Siate prudenti - il plugin è stato violato.




Il plugin WP GDPR Compliance permette proprietari di siti web per includere una casella di controllo per i loro siti web che permette ai visitatori di concedere il permesso. Il plugin permette inoltre agli utenti di richiedere copie dei dati che il particolare sito web WordPress raccoglie.

Secondo i ricercatori Wordfence, il plugin è stato compromesso ed è stato rimosso dal repository plugin per WordPress ieri. Tuttavia, la versione gli sviluppatori di plugin rilasciata 1.4.3 del suo prodotto che patchati le vulnerabilità critiche. Attualmente, lo stato del plugin è ripristinato e ha più di 100,000 installazioni attive.

Correlata: [wplinkpreview url =”https://sensorstechforum.com/make-website-gdpr-compliant/”]Come fare il vostro sito GDPR Conforme: L'Ultimate Guide

WP GDPR Compliance Plugin vulnerabilità Explained

Secondo Wordfence, le vulnerabilità permesso attaccanti non autenticati per raggiungere scalata di privilegi, che potrebbe consentire loro di infettare ulteriori siti WordPress vulnerabili.

In termini tecnici, Plugin WP GDPR Compliance ha lo scopo di gestire alcuni tipi di azioni che possono essere presentate tramite la funzionalità admin-ajax.php di WordPress. Queste azioni includono solitamente fare richieste di accesso ai dati, le richieste di cancellazione dei dati, ma c'è anche la funzionalità per modificare le impostazioni del plugin utilizzando l'amministratore dashboard di WordPress.

Sembra che le versioni vulnerabili del plugin (fino al versione 1.4.2) non riescono a fare controlli di capacità durante l'esecuzione di suo save_setting azione interna di apportare tali modifiche di configurazione. Se un attore minaccia sottopone opzioni ei valori arbitrari per questo endpoint, i campi di input verranno memorizzate nella tabella delle opzioni del database del sito interessato, Wordfence detto, aggiungendo che:

Oltre alla memorizzazione dei valori arbitrari opzioni, il plugin esegue un do_action() chiamare utilizzando il nome facoltà prevista e il valore, che può essere utilizzato da malintenzionati per attivare azioni arbitrarie WordPress.

La vulnerabilità è stata segnalata come due difetti separati: un arbitrario aggiornamento opzioni bug e un'azione arbitraria chiamate bug. Ciò nonostante, entrambe le imprese sono residenti nello stesso blocco di codice ed eseguita con lo stesso payload, il che significa che essi possono essere trattati come una vulnerabilità di scalata di privilegi singolo.

Correlata: [wplinkpreview url =”https://sensorstechforum.com/wordpress-site-owners-targeted-global-phishing-scam/”]I proprietari del sito WordPress mirati da Global Phishing Scam

Come indicato dal report, la vulnerabilità plug WP GDPR conformità è stato sfruttato in natura. In alcuni dei casi, la possibilità di aggiornare i valori arbitrari opzioni è stato utilizzato per installare gli account nuovo amministratore sui siti WordPress impattati.

In molti dei casi che abbiamo analizzati e suddivisi in quanto la divulgazione di questa vulnerabilità, Conti presente con le variazioni del nome utente t2trollherten che abbiamo visto amministratore dannoso. Questa intrusione vettore è stato anche associato con webshells caricato chiamato wp-cache.php, Wordfence disse.

proprietari di siti web che hanno implementato questo plugin dovrebbe aggiornare immediatamente alla versione più recente (versione 1.4.3) che è stato patchato contro gli attacchi descritti.

Milena Dimitrova

Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim

Altri messaggi

Seguimi:
Cinguettio

Lascio un commento

Il tuo indirizzo email non verrà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito utilizza i cookie per migliorare l'esperienza dell'utente. Utilizzando il nostro sito web acconsenti a tutti i cookie in conformità con la ns politica sulla riservatezza.
Sono d'accordo