Vulnerabilità del Plugin di Traduzione di WordPress colpisce più di un milione di siti

Una grave vulnerabilità è stata scoperta nel plugin WordPress WPML, che coinvolge oltre un milione di installazioni. La vulnerabilità consente a un attaccante autenticato di eseguire codice da remoto, potenzialmente portando al completo takeover del sito. È classificata con un punteggio di 9.9 su 10 dall’organizzazione Common Vulnerabilities and Exposures (CVE).

La vulnerabilità del plugin è dovuta a una mancanza di un controllo di sicurezza chiamato sanitizzazione, un processo per filtrare i dati di input dell’utente per proteggere contro il caricamento di file dannosi. La mancanza di sanitizzazione di questo input rende il plugin vulnerabile a un Remote Code Execution.

La vulnerabilità si trova all’interno di una funzione di uno shortcode per creare un selettore di lingua personalizzato. La funzione rende il contenuto dello shortcode in un template del plugin ma senza sanificare i dati, rendendolo vulnerabile all’iniezione di codice.

La vulnerabilità interessa tutte le versioni del plugin WPML WordPress fino alla versione 4.6.12.

Wordfence ha scoperto la vulnerabilità alla fine di giugno e ha prontamente informato gli editor di WPML che sono rimasti non rispondenti per circa un mese e mezzo, confermando la risposta il 1 agosto 2024.

Gli utenti della versione a pagamento di Wordfence hanno ricevuto protezione otto giorni dopo la scoperta della vulnerabilità, mentre gli utenti gratuiti di Wordfence hanno ricevuto protezione il 27 luglio.

Gli utenti del plugin WPML che non utilizzavano nessuna delle versioni di Wordfence non hanno ricevuto protezione da WPML fino al 20 agosto, quando gli editor hanno finalmente rilasciato una patch nella versione 4.6.13.

Wordfence esorta tutti gli utenti del plugin WPML a assicurarsi di utilizzare l’ultima versione del plugin, WPML 4.6.13.

Hanno scritto:
“Sollecitiamo gli utenti a aggiornare i propri siti con l’ultima versione aggiornata di WPML, la versione 4.6.13 al momento della stesura di questo articolo.”

Ulteriori dettagli sulla vulnerabilità sono disponibili su Wordfence: [1,000,000 WordPress Sites Protected Against Unique Remote Code Execution Vulnerability in WPML WordPress Plugin](https://www.wordfence.com/blog/2024/08/1000000-wordpress-sites-protected-against-unique-remote-code-execution-vulnerability-in-wpml-wordpress-plugin/)

Immagine in evidenza di Shutterstock/Luis Molinero.