La vulnerabilità di WordPress Website Builder colpisce quasi 1 milione di siti web

Una vulnerabilità significativa è stata risolta nel Website Builder di SeedProd che conta oltre 900.000 installazioni. Questa vulnerabilità, presente nelle versioni fino alla 6.15.21 inclusa, rappresenta un rischio di modifica non autorizzata dei dati sui siti WordPress.

Dettagli della vulnerabilità: controllo della capacità mancante

La vulnerabilità scoperta è chiamata controllo della capacità mancante all'interno della funzione 'seedprod_lite_new_lpage'.

Le funzionalità sono azioni specifiche che gli utenti o i ruoli possono eseguire. Un controllo di capacità è un'importante funzionalità di sicurezza in WordPress per la gestione delle autorizzazioni e dei controlli di accesso. Determinano se un utente ha l'autorità per eseguire un'azione specifica.

È simile al controllo del ruolo in quanto verifica il ruolo dell'utente (come amministratore, editor, ecc.), mentre un controllo della capacità verifica se l'utente dispone di autorizzazioni specifiche. Un controllo di capacità fornisce un controllo più granulare sulle autorizzazioni rispetto a un controllo di ruolo.

Il controllo della capacità mancante consente agli aggressori non autenticati di modificare potenzialmente il contenuto di varie pagine create utilizzando il plug-in, come le pagine in arrivo o di manutenzione. L'assenza di questa funzionalità di sicurezza espone i siti Web a rischi di manomissione dei dati.

Modifica dei dati non autorizzata

La modifica non autorizzata dei dati rappresenta un serio problema di sicurezza. Deriva da un difetto in cui individui non autorizzati possono alterare i dati, portando a potenziali exploit. Si consiglia vivamente di risolvere questo tipo di vulnerabilità nel plug-in Website Builder.

Gravità e impatto: esposizione ad alto rischio

La vulnerabilità è classificata 8,2 su una scala da 1 a 10, con un livello di gravità classificato come “Alto” secondo il Common Vulnerability Scoring System (CVSS). Il punteggio elevato indica la gravità del potenziale impatto.

Questa vulnerabilità è così nuova che attualmente non esiste alcuna voce nel database nazionale delle vulnerabilità per il numero CVE assegnato CVE-2024-1072.

Tuttavia, i ricercatori sulla sicurezza di Wordfence WordPress hanno sottolineato la serietà del problema Vulnerabilità di Website Builder di SeedProd:

“Ciò consente agli aggressori non autenticati di modificare il contenuto delle pagine in arrivo, di manutenzione, di accesso e delle pagine 404 configurate con il plug-in.”

Raccomandazione per gli utenti del plug-in per la creazione di siti Web

L'editore del Website Builder di SeedProd ha risposto rilasciando una versione aggiornata, 6.15.22, che risolve questa vulnerabilità. L'aggiornamento include un nonce di sicurezza per mitigare il rischio e si consiglia vivamente agli utenti del plug-in di aggiornare immediatamente per proteggere il proprio sito Web dagli attacchi.

Per quanto riguarda il nonce, WordPress spiega di cosa si tratta:

Un nonce è un “numero utilizzato una volta” per proteggere URL e moduli da determinati tipi di uso improprio, dannoso o meno.

…Aiutano a proteggere da diversi tipi di attacchi…”

Leggi l'annuncio di Wordfence:

Generatore di siti Web di SeedProd: generatore di temi, generatore di pagine di destinazione, pagina in arrivo, modalità di manutenzione <= 6.15.21 – Autorizzazione mancante tramite seedprod_lite_new_lpag

Leggi il registro delle modifiche ufficiale di SeedProd

Immagine in primo piano di Shutterstock/Nikulina Tatiana