Un milione di siti WordPress a rischio sicurezza con il plugin Essential Addons for Elementor

Scoperta una grave vulnerabilità sui siti web in Wordpress che utilizzano il plugin Essential Addons for Elementor, uno dei più utilizzati plugin

I ricercatori ed esperti di sicurezza identificano una grave vulnerabilità che comprometterebbe i sistemi Wordpress di oltre 1 milione di siti web, con gravi ripercussioni su furto di dati e interruzione del business

Essential Addons for Elementor, uno dei plugin più diffusi per WordPress, è stato scoperto vulnerabile a un grave problema che consente a utenti anonimi di ottenere privilegi di amministratore su siti vulnerabili.

Cosa è Elementor e quale è il bug su Wordpress ?

Questo plugin, che include una vasta libreria di 90 estensioni per il popolare generatore di pagine Elementor, è utilizzato da oltre un milione di siti web.

L'8 maggio 2023, gli esperti di sicurezza di PatchStack hanno identificato la vulnerabilità con il codice CVE-2023-32243. Il problema è legato alla funzione di reimpostazione della password presente nelle versioni comprese tra la 5.4.0 e la 5.7.1 del plugin.

I ricercatori hanno spiegato che sfruttando questa vulnerabilità è possibile resettare la password di qualsiasi utente, anche senza conoscere il suo nome, ottenendo così accesso completo all'account dell'amministratore del sito

A rischio anche gli stessi utenti che visitano siti Wordpress

Le conseguenze dell'abuso di questa vulnerabilità possono essere estremamente gravi, andando dall'accesso non autorizzato e alla divulgazione di informazioni private, all'alterazione dei siti web e persino alla cancellazione totale dei contenuti. Inoltre, i malintenzionati possono utilizzare il sito compromesso per diffondere malware, causando danni significativi ai proprietari del sito e ai visitatori.

Secondo quanto riportato nel rapporto di PatchStack, per sfruttare la vulnerabilità, un utente malintenzionato deve impostare il valore "page_id" e "widget_id" come casuali nell'invio di una richiesta POST, in modo da evitare che il plugin generi un messaggio di errore che potrebbe insospettire l'amministratore del sito.

Omettiamo il codice ma esiste ormai in rete oltre che sul bollettino di sicurezza proprio lo script di codice oggetto del bug. Ci sono ormai già centinaia di script e tutorial in rete per poter eseguire l'hack che sono a disposizione di tutti.

Aggiornare i sistemi maniacalmente quando si usano i cms

La soluzione per questa vulnerabilità è già stata rilasciata nella versione 5.7.2 di Essential Addons per Elementor. Tutti gli utenti del plugin sono fortemente incoraggiati ad aggiornare alla versione più recente al più presto possibile, al fine di proteggere i propri siti web da potenziali attacchi.

Considerazioni su questo ennesimo gravissimo bug

Wordpress viene usato anche per ecommerce con il noto Woocommerce e se installato il plugin incriminato, gli stessi siti di ecommerce con wordpress/woocommerce sono a rischio. 
Bug e bollettini del genere sono giornalieri purtroppo e gli hacker sono costantemente aggiornati per bucare e hackerare i siti non aggiornati o agire sulle liste di siti già bucati, sempre presenti in rete. Il problema non riguarda solo Wordpress ma in generale tutti i cms (Prestashop, Magento, OSCart e tutti gli altri).

Il motivo è semplice, sono presenti milioni di installazioni e un bug sulla sicurezza è molto appetibile, inoltre questi sistemi per cercare di soddisfare la maggior parte di utenza possibile, sono realizzati con sistemi molto eterogenei e articolati, anche quando questo non sarebbe necessario, aumentando quindi il rischio di bug. 

Immaginate un sito di ecommerce che genera migliaia di ordini e contiene migliaia se non milioni di dati di utenti bucato o bloccato per un problema del genere. 
Il nostro consiglio è sempre quello di usare questi sistemi e piattaforma open source solo quando si parla di progetti startup o comunque a basso impatto sul business.

Se hai un business importante è ora di migrare altrove

Ormai sono anni che non utilizziamo più i CMS, di ogni genere essi siano. Ci occupiamo principalmente proprio di aiutare i clienti a migrare da queste soluzioni open, poco sicure e poco scalabili, a prodotti più performanti, sicuri e customizzati anche per soddisfare le sempre più stringenti e difficoltose regole SEO.

Abbiamo sviluppato una profonda esperienza in sicurezza e gestione di piattaforme custom basate su framework proprietari realizzati completamente da noi ed aggiornati costantemente con codice non pubblico e quindi sicuramente più sicuro. 

Buona sicurezza a tutti
Lucasweb.it
 

 

---

Autore: Luca Di Matteo
Email: info@lucasweb.it
Linkedin: https://www.linkedin.com/in/lucadimatteo/
Facebook: https://www.facebook.com/lucadimatteo
Twitter: https://twitter.com/lucadimatteo