Παρασκευή, 15 Ιανουαρίου, 11:08
Αρχική security GDPR Cookie plugin εκθέτουν Wordpress ιστοσελίδες σε hacking επιθέσεις!

GDPR Cookie plugin εκθέτουν WordPress ιστοσελίδες σε hacking επιθέσεις!

Εντοπίστηκαν και επιλύθηκαν κρίσιμα ζητήματα ασφαλείας που προκλήθηκαν από ακατάλληλα access controls σε ένα WordPress plugin σχεδιασμένο για συμμόρφωση με GDPR cookie. Δυστυχώς, όμως, εκατοντάδες χιλιάδες ιστότοποι ενδέχεται να είναι ακόμα ευάλωτοι σε επίθεση.

Το GDPR Cookie Consent plugin, το οποίο προσφέρεται από τον προγραμματιστή Cookie Law Info μέσω του WebToffee, έχει σχεδιαστεί για να διασφαλίζει ότι οι ιστότοποι συμμορφώνονται με τον κανονισμό περί Γενικής Προστασίας Δεδομένων της ΕΕ (GDPR). Συγκεκριμένα, αφορά τη λήψη της συγκατάθεσης για cookies από τους επισκέπτες, τη δημιουργία μιας σελίδας πολιτικής απορρήτου & cookies και την ενεργοποίηση των banners που αποδεικνύουν τη συμμόρφωση.

GDPR Cookie

Το plugin περιέχει περισσότερες από 700.000 ενεργές εγκαταστάσεις σύμφωνα με τη βιβλιοθήκη του WordPress.

Η είδηση γεννήθηκε στις 28 Ιανουαρίου 2019, όταν ο ερευνητής της NinTechNet, Jerome Bruandet, ανακάλυψε μια ευπάθεια που επηρεάζει το GDPR Cookie Consent version 1.8.2 και παλαιότερες εκδόσεις. Ουσιαστικά, πρόκειται για ένα κρίσιμο ζήτημα που προκαλείται από αποτυχημένους ελέγχους δυνατοτήτων, οδηγώντας σε επικυρωμένο cross-site scripting (XSS) και πιθανή κλιμάκωση προνομίων.

Πως προκλήθηκε το σφάλμα;

Για όλα ευθύνεται ένα ευπαθές AJAX endpoint όπου η αποτυχία εκτέλεσης ελέγχων σήμαινε ότι εκτέθηκαν τρεις ενέργειες: get_policy_pageid, autosave_contant_data και save_contentdata.

Σύμφωνα με το WordPress «επειδή το AJAX endpoint προοριζόταν να είναι προσβάσιμο μόνο σε διαχειριστές, η ευπάθεια επιτρέπει στους χρήστες συνδρομητών να εκτελούν μια σειρά ενεργειών που μπορούν να θέσουν σε κίνδυνο την ασφάλεια του ιστότοπου».

Wordpress

Ενώ το get_policy_pageid προσφέρει μόνο το post ID μιας cookie policy σελίδας και συνεπώς δεν προκαλεί μεγάλη ζημιά, η έκθεση του autosave_contant_data – (ορθογραφικό λάθος στον κώδικα) – μια λειτουργία που προορίζεται για τον ορισμό του προεπιλεγμένου περιεχομένου στη policy preview σελίδα σημαίνει ότι αυτή η σελίδα θα μπορούσε να γίνει injected με XSS payloads.

Έτσι, κακόβουλα ωφέλιμα φορτία εκτελούνται όταν οι χρήστες επισκέπτοναι το http: // / cli-policy-preview /

Επιπλέον, το save_contentdata προορίζεται για χρήση στη δημιουργία ή στην ενημέρωση της ανάρτησης που χρησιμοποιείται για το policy page και έτσι η έκθεση θα μπορούσε να επιτρέψει στους εισβολείς να αλλάξουν το περιεχόμενο της ανάρτησης με διάφορους τρόπους.

Η χρήση αυτής της ενέργειας μπορεί να οδηγήσει σε διαγραφή υλικού ή φόρωση κακόβουλου περιεχομένου, συμπεριλαμβανομένου του “μορφοποιημένου κειμένου, τοπικών ή απομακρυσμένων εικόνων καθώς και υπερσυνδέσμων και κωδικών πρόσβασης.

Συνιστάται οι χρήστες GDPR Cookie plugin να βεβαιωθούν ότι χρησιμοποιούν την τελευταία έκδοση του λογισμικού, 1.8.3, για να παραμείνουν προστατευμένοι. Μέχρι και τη στιγμή που γράφτηκε το συγκεκριμένο αρθρο, 64,5% των χρηστών έχουν ενημερωθεί – με χιλιάδες ιστοσελίδες να παραμένουν ακόμα εκτεθειμένες.

ΑΦΗΣΤΕ ΜΙΑ ΑΠΑΝΤΗΣΗ

Please enter your comment!
Please enter your name here

LIVE NEWS

Η Nintendo αποκλείει hacking βίντεο του Game & Watch

Δύο αξιώσεις για πνευματικά δικαιώματα εναντίον ενός YouTuber έχουν κατατεθεί από την Nintendo, για ένα βίντεο που παρουσιάζει hacking του Super Mario...

O αριθμός των αναφερόμενων CVEs σημείωσε αύξηση κατά 6%!

Σύμφωνα με νέα ανάλυση που κυκλοφόρησε σχετικά με το επίπεδο και των όγκο των ευπαθειών το 2020, ο συνολικός αριθμός των CVEs...

Google: Αφαίρεσε 164 apps που εμφάνιζαν out-of-context διαφημίσεις

Η Google αφαίρεσε 164 Android εφαρμογές από το επίσημο κατάστημα Play Store, αφού ερευνητές ασφαλείας ανακάλυψαν ότι τα συγκεκριμένα apps βομβάρδιζαν τους...

Βρετανία: Απώλεια 150.000 αστυνομικών αρχείων από βάση δεδομένων

Περίπου 150.000 αρχεία της αστυνομίας διαγράφησαν από βάση δεδομένων της, ως αποτέλεσμα ενός τεχνικού προβλήματος, όπως δήλωσε η κυβέρνηση της Βρετανίας.

Hy-Vee: Προτάθηκε διακανονισμός για την παραβίαση δεδομένων

Σε διακανονισμό φαίνεται ότι προχωρά η αλυσίδα παντοπωλείων Hy-Vee με έδρα την Αϊόβα, προκειμένου να διευθετήσει μία παραβίαση δεδομένων που υπέστη.
00:02:19

Γιατί οι επιστήμονες λένε ότι δεν μπορεί να ελεγχθεί η υπερνοημοσύνη AI;

Η τεχνητή νοημοσύνη AI που έχει έρθει για να ανατρέψει τα δεδομένα της ανθρωπότητας, αποτελεί αντικείμενο συζήτησης εδώ και πολλές δεκαετίες. Τώρα,...
00:03:28

iPhone vs Android: Ποιο είναι το καλύτερο για εσάς;

Η μάχη μεταξύ iPhone και Android θα υπάρχει για πάντα. Το iOS (το OS των iPhone) και το Android είναι τα δύο...

Ιδιοκτήτης bitcoin exchange υπηρεσίας συνελήφθη για ξέπλυμα χρήματος

Ο ιδιοκτήτης μιας βουλγαρικής bitcoin exchange υπηρεσίας καταδικάστηκε σε φυλάκιση στις Ηνωμένες Πολιτείες, για την εμπλοκή του σε απάτη και την παροχή...

Πώς να εκκινήσετε shortcuts από ένα “Apple Watch Face”

Τα shortcuts των iPhone σάς βοηθούν να αυτοματοποιήσετε εργασίες, ανεξάρτητα από το πόσο απλές ή περίπλοκες είναι. Γνωρίζατε όμως ότι μπορείτε να...