Utilizzato in oltre un milione di siti web, tra cui WordPress, purtroppo LayerSlider risulta vulnerabile a eventuali attacchi hacker. Proprio questa falla consentirebbe di estrarre dati sensibili, come le proprie password, direttamente dal database. Un rischio enorme per la sicurezza di tutti gli utenti.
Vediamo però cosa è successo, e come mettere in sicurezza il proprio sito. Sempre se non sia troppo tardi.
LayerSlider, il plugin di WordPress risulta vulnerabile
Riporta BleepingComputer, LayerSlider, plugin di WordPress utilizzato in oltre un milione di siti, è stato segnalato di recente dalla ricercatrice AmrAwad, che ne ha scoperto un difetto critico relativo all’iniezione SQL non autenticata.
Dato il punteggio CVSS pari a 9,8 (praticamente altamente critico), la vulnerabilità CVE-2024-2879 è stata prontamente segnalata alla società di sicurezza WordPress Wordfence tramite il suo programma bug bounty. Per il suo lavoro responsabile, riporta BleepingComputer, AmrAwad ha ricevuto una taglia di 5.500 dollari.
Come già anticipato, la falla consentirebbe agli hacker di estrarre dati sensibili, come gli hash delle password, dal database del sito, col rischio di subire un’acquisizione completa o la totale violazione dei dati.
Siti che non sono pochi: la vulnerabilità colpisce le versioni dalla 7.9.11 alla 7.10.0 del plugin, e si stima siano oltre 1 milione i siti coinvolti.
Come proteggere il proprio sito WordPress
È un peccato che a essere colpito da vulnerabilità sia proprio LayerSlider. Parliamo di uno strumento versatile per creare slider reattivi, gallerie di immagini e animazioni su siti WordPress. Inoltre consente agli utenti di creare elementi visivamente accattivanti con contenuti dinamici fatti apposta per le piattaforme online.
Fortunatamente, il creatore del plugin, Kreatura Team, è stato immediatamente informato della falla e ha subito raccolto la segnalazione. Lui e gli altri sviluppatori hanno rilasciato un apposito aggiornamento di sicurezza il 27 marzo 2024, meno di 48 ore dopo il contatto iniziale.
Si consiglia a tutti gli utenti di LayerSlider di eseguire l’aggiornamento alla versione 7.10.1, che risolve la vulnerabilità critica. Inoltre si raccomanda agli amministratori dei siti WordPress che:
- mantengano aggiornati tutti i plug-in,
- disabilitino quelli non necessari,
- utilizzino password di account complesse,
- disattivino gli account dormienti che possono essere violati.
