Il plugin AMP for WP destinato a WordPress espone il sito ad attacchi e all'iniezione di codice malevolo

Tempi duri per gli amministratori di siti WordPress: dopo la grave vulnerabilità scoperta nel plugin WP GDPR Compliance (WordPress: plugin per adeguarsi al GDPR apre le porte ai criminali informatici) che è stata già sfruttata da parte di malintenzionati per infettare blog e siti web di ogni genere, in queste ore è venuta a galla un’altra importante lacuna di sicurezza nel plugin AMP for WP.

Si tratta di un altro popolarissimo plugin per WordPress che consente di generare automaticamente pagine AMP (Accelerated Mobile Pages; vedere Pagine AMP, Google non permetterà più di usarle solo come anteprime) per il caricamento veloce dei contenuti sui dispositivi mobili.

Il ricercatore Sybre Waaijer, egli stesso sviluppatore di plugin per WordPress, ha recentemente scoperto che AMP for WP non effettuava alcun controllo sui privilegi associati a ciascun account: ciò significa che un utente normale, iscrittosi sulla piattaforma WordPress, poteva sfruttare la vulnerabilità insita nel plugin per svolgere una serie di operazioni amministrative senza averne alcun titolo.

Nello specifico il plugin AMP for WP non controllava l’output restituito dalla funzione di sistema current_user_can() e non si accertava quindi che solamente gli amministratori potessero compiere modifiche sulla configurazione di WordPress.

La vulnerabilità è stata risolta nella versione 0.9.97.20 del plugin AMP for WP: è quindi importante verificare immediatamente l’eventuale versione utilizzata e procedere con l’applicazione dell’aggiornamento più recente.

Il video, realizzato dagli esperti di WebARX, mostra che cosa è possibile fare con un plugin vulnerabile come AMP for WP. Nella dimostrazione si vede come i tecnici di WebARX riescano a iniettare codice malevolo nelle pagine erogate dal sito WordPress utilizzando un account normale, sprovvisto di qualunque diritto amministrativo.