Una questione di sicurezza: la vulnerabilità su WPBakery di WordPress

Perché un WordPress abbandonato è un rischio per l’azienda

Lo scorso 27 luglio il team Threat Intelligence della società di sicurezza Wordfence ha scoperto una grave vulnerabilità nel plugin per WordPress WPBakery , uno tra i più popolari page builder di WordPress (installato su oltre 4,3 milioni di siti web): si tratta di uno strumento di facile utilizzo che permette di creare un sito web e realizzare pagine personalizzate con semplici operazioni drag and drop. La vulnerabilità riscontrata, a quanto dichiarato, consentirebbe di inserire JavaScript dannosi all’interno dei post (articoli, prodotti, etc).

È stato necessario diverso tempo prima di poter risolvere il problema con una patch definitiva, che è stata rilasciata il 24 settembre scorso.

Nel dettaglio, la funzionalità più apprezzata di WPBakery è quella di modificare le pagine create: gli utenti possono accedere all’editor e modificare qualsiasi post, fornendo opportuni parametri. WPBakery offre, in particolare, anche la funzionalità di personalizzare i pulsanti: ed è qui che, secondo Wordfence, si è creata la vulnerabilità. Un utente malintenzionato, infatti, sarebbe in grado iniettare un JavaScript dannoso tramite XSS, il cui click permette l’esecuzione di un codice capace di creare un nuovo utente, anche con privilegi d’amministratore, oppure di creare una backdoor all’interno del sito per altre attività.

Il consiglio è di aggiornare immediatamente WPBakery alla versione 6.4.1  

Poiché WPBakery è un plug-in premium, è necessario controllare che eventuali aggiornamenti siano disponibili con l’acquisto del tema. La verifica del numero di versione del plug-in nella dashboard dei plug-in dovrebbe avvisare sulla versione installata sul sito.

Consigliamo vivamente di contattare il vostro gestore del sito internet per verificare la presenza del plugin e del suo aggiornamento, per mantenere il vostro sito protetto, vista la gravità segnalata a livello di sicurezza.

Fonte della notizia sul blog di Wordfence.