Il team Patchstack ha scoperto una nuova vulnerabilità nel plugin WordPress Post inviati dagli utenti (versioni 20230902 e precedenti).
Con oltre 20.000 installazioni attive, questo popolare plugin viene utilizzato per l’invio di contenuti generati dagli utenti ed è sviluppato da Plugin Planet.
Alla vulnerabilità, discussa dal ricercatore di sicurezza di Patchstack Rafie Muhammad in un avviso pubblicato oggi, è stato assegnato CVE-2023-45603.
“Questo plugin soffre di una vulnerabilità nel caricamento di file arbitrari non autenticati”, ha spiegato Muhammad.
Il difetto risiede nella gestione dei file caricati da parte del plugin, in particolare nella funzione “usp_attach_images”. Gli utenti non autenticati potrebbero sfruttare questa vulnerabilità caricando file con codice PHP incorporato, che verrebbero quindi eseguiti sul server, compromettendo potenzialmente la sicurezza del sito web.
Nel suo post sul blog, Muhammad ha spiegato che il team ha scoperto il difetto nel settembre 2023 e che Plugin Planet ha rilasciato una patch due giorni dopo. Entro il 10 ottobre 2023 la vulnerabilità è stata catalogata nel database Patchstack.
“Poiché il problema principale è consentire il caricamento di estensioni di nomi di file arbitrarie, il fornitore ha deciso di aggiungere un controllo della whitelist prima di caricare il file sul server”, si legge nell’articolo tecnico.
Il problema è stato risolto nell’ultima versione del plugin, versione 20230914. Si consiglia vivamente agli utenti di aggiornare immediatamente le proprie installazioni per proteggere i propri siti Web da questa grave minaccia alla sicurezza.
“Controlla sempre ogni processo dei parametri $_FILES nel plugin o nel codice del tema,” Maometto ha scritto. “Assicurati di applicare un controllo sul nome file e sull’estensione prima di caricare il file.”
Si ricorda inoltre ai proprietari dei siti Web di verificare il proprio codice per potenziali vulnerabilità e di mantenere una lista bianca di estensioni di file consentite come misura precauzionale contro caricamenti di file arbitrari.