Il team Jetpack Scan ha pubblicato un riassunto di due problemi scoperti di recente nel WP Cache più veloce plugin: una vulnerabilità Authenticated SQL Injection e una vulnerabilità Stored XSS Via CSRF.

“Se sfruttato, il bug SQL Injection potrebbe garantire agli aggressori l’accesso a informazioni privilegiate dal database del sito interessato (ad esempio, nomi utente e password con hash)”, ha affermato Marc Montpas, ingegnere di ricerca sulla sicurezza di Automattic. Questa particolare vulnerabilità può essere sfruttata solo su siti in cui il Editor classico il plugin è sia installato che attivato.

“Sfruttare con successo la vulnerabilità CSRF e Stored XSS potrebbe consentire ai malintenzionati di eseguire qualsiasi azione che l’amministratore che ha effettuato l’accesso che hanno preso di mira è autorizzato a fare sul sito di destinazione”, ha affermato Montpas. Ha anche scoperto che gli aggressori potrebbero “abusare di alcune di queste opzioni per memorizzare Javascript non autorizzato sul sito Web interessato”.

WP Fastest Cache è attivo su più di 1 milione di siti WordPress e il plugin riporta anche 58.322 utenti paganti. Emre Vona, l’autore del plugin, ha corretto le vulnerabilità nella versione 0.9.5, rilasciata questa settimana. Jetpack consiglia gli utenti aggiornare non appena possibile, poiché entrambe le vulnerabilità hanno un elevato impatto tecnico se sfruttate.