Hacker News riporta che il plugin WordPress plugin SEO by Yoast è soggetto ad una vulnerabilità che affligge milioni di utenti.
Tutte le versioni di SEO by Yoast fino alla versione 1.7.3.3 sono vulnerabili all’attacco Blind SQL Injection. Questa è considerata una vulnerabilità critica a causa del fatto che potrebbe compromettere seriamente il vostro sito WordPress.
Mohit Kumar di Hacker News spiega come funziona la vulnerabilità:
Fondamentalmente in un attacco SQLI, un hacker inserisce una query SQL non valida in un’applicazione, tramite l’ingresso sul lato client. Tuttavia, in questo scenario, un hacker esterno può non attivare questa vulnerabilità perché la falla in realtà risiede nel file admin/class-bulk-editore-list-table.php, che è autorizzata ad essere accessibile dall’amministratore Admin.
Ciò significa che un utente malintenzionato potrebbe sfruttare questa vulnerabilità ingannando gli amministratori di WordPress a cliccare su un link che farebbe scattare l’attacco SQLI.
Una volta che l’attacco è stato effettuato, l’utente malintenzionato potrebbe quindi aggiungere il proprio account di amministratore al sito WordPress e fare ciò che vogliono con esso.
Questo è qualcosa che può facilmente risolto aggiornando il plugin alla versione più recente 1.7.4.
Quindi se non l’avete ancora fatto aggiornate subito!
