Il plugin WordPress buggato consente agli utenti di cancellare interi siti web

I ricercatori di sicurezza con Wordfence, un plug-in incentrato sulla sicurezza per WordPress, hanno riscontrato un bug critico in un altro plug-in per la piattaforma di pubblicazione. Il problema è stato individuato nell'addon HashThemes Demo Importer per WordPress e la gravità del problema è piuttosto elevata.

L'errore nel plug-in HashThemes Demo Importer ha consentito a un utente che ha effettuato l'accesso alla piattaforma WordPress e ha accesso al backend di un sito Web di cancellare completamente tutti i contenuti, incluse pagine, articoli e media, nonché i contenuti dei database utilizzati dal sito. Secondo le statistiche, circa 8mila siti web avevano il plugin attivo quando è stato scoperto il bug.

Lo scopo originale del plug-in di importazione demo è consentire agli amministratori di siti basati su WordPress di importare demo di temi visivi e design di WordPress con un solo clic. Il plug-in velocizza notevolmente il processo di visualizzazione in anteprima e non comporta la gestione manuale di diversi file di impostazione che potrebbero essere specifici del sito e del tema utilizzato.

Il team di Wordfence ha rivelato il bug seguendo il protocollo, ma lo sviluppatore dell'importatore demo non ha risposto per settimane intere. Infine, i ricercatori hanno portato il problema direttamente al team dei plugin di WordPress e la versione difettosa del plugin è stata rimossa lo stesso giorno. Quattro giorni dopo, è stata ripristinata una versione corretta e corretta.

Wordfence ha spiegato che il problema con il plugin risiedeva nel modo in cui utilizzava Ajax. Il bug ha consentito a qualsiasi utente che avesse effettuato l'accesso, anche quelli con diritti e accesso predefiniti molto limitati come gli abbonati, di apportare modifiche drastiche al sito Web, inclusa la cancellazione completa di tutti i contenuti sul sito che esegue il plug-in.

La semplice conclusione qui è che ogni comodo plug-in che potresti voler aggiungere alla tua configurazione esistente di WordPress aumenta la potenziale superficie di attacco. Funzionalità più ricche e una maggiore facilità d'uso non devono sempre andare a scapito della sicurezza, ma con i plugin di terze parti c'è sempre la possibilità che alcune crepe siano presenti e nascoste in bella vista.