I ricercatori di sicurezza hanno recentemente scoperto che la chiave utilizzata da WP-SlimStat WordPress plug-in per firmare i dati scambiati tra il server e il client, che avrebbe dovuto essere "segreto" era in realtà molto facile da decifrare. Secondo gli esperti di sicurezza, i criminali informatici richiederebbe solo 10 minuti per trovare la chiave di crittografia.
Si applicano le utenti WordPress WP-SlimStat WordPress plug-in per ottenere analytics. Il plug-in fornisce informazioni come la latenza del server, il registro in tempo reale, i rapporti e-mail e le mappe di calore. Poi, le informazioni possono essere esportati in un foglio di calcolo Excel.
Il WP-SlimStat WordPress Plug-in è stato scaricato più di 1.3 milioni di volte dopo la pubblicazione, secondo i dati di download sulla sua pagina. Ciò significa che il plug-in ha grande popolarità e questo provoca l'interesse dei criminali informatici, nonché, che stanno cercando di verificare le vulnerabilità riportate.
Rischio di un Injection cieco SQL avanti
Ricercatori di sicurezza Sucuri hanno scoperto che la chiave utilizzata da WP-SlimStat plug-in, che doveva essere difficile da decifrare è generato sui dati di installazione di tale plug-in ed è il valore hash MD5 di esso.
Ciò significa che i criminali informatici possono utilizzare siti come Internet Archive di indovinare l'anno il sito è stato messo on-line. Poi gli aggressori dovranno testare alcuni 30 milioni di valori e che richiede solo un paio di minuti grazie alla CPU moderna.
La vulnerabilità del plug-in corre il rischio di un attacco con un Injection cieco SQL, che potrebbe portare a perdita di informazioni sensibili dal database del sito web tra cui nomi utente e password. In alcune situazioni specifiche, le chiavi segrete WordPress potrebbe essere immediatamente trapelato e che potrebbe portare a sito completo takeover.
Nuovo plug-in rilascio
Recentemente è stata rilasciata una nuova 3.9.6 versione del WP-SlimStat WordPress Plug-in, al fine di rimuovere tale vulnerabilità. In questa versione la chiave di crittografia è di maggiore difficoltà e le query SQL siano serrate.
Gli utenti sono fortemente incoraggiati a passare a questa nuova versione del plug-in e sono date istruzioni su come farlo in modo che il codice di monitoraggio può contare sui più recenti miglioramenti.
Il nuovo 3.9.6 versione del WP-SlimStat WordPress Plug-in informa gli utenti del plug-in per svuotare la cache in modo da assicurarsi che il codice di monitoraggio viene rigenerato con la nuova chiave. Il codice di monitoraggio per i siti esterni dovrebbe essere sostituito con quello nuovo che è disponibile su Impostazioni - Avanzate.