Il Tutto in uno SEO plugin ha corretto una serie di gravi vulnerabilità che erano scoperto dal team Jetpack Scan due settimane fa. La versione 4.1.5.3, rilasciata l’8 dicembre, include correzioni per una vulnerabilità di SQL Injection e un bug di escalation dei privilegi.

Marc Montpas, il ricercatore che ha scoperto le vulnerabilità, ha spiegato come potrebbero essere sfruttate:

Se sfruttata, la vulnerabilità SQL Injection potrebbe concedere agli aggressori l’accesso a informazioni privilegiate dal database del sito interessato (ad esempio, nomi utente e password con hash).

Il bug dell’escalation dei privilegi che abbiamo scoperto potrebbe concedere ai malintenzionati l’accesso a endpoint API REST protetti a cui non dovrebbero avere accesso. Ciò potrebbe in definitiva consentire agli utenti con account con privilegi limitati, come gli abbonati, di eseguire l’esecuzione di codice in remoto sui siti interessati.

Il Common Vulnerability Scoring System (CVSS) ha fornito le vulnerabilità Alto e critico punteggi per la sfruttabilità.

Montpas ha spiegato che All In One SEO non è riuscito a proteggere gli endpoint dell’API REST del plug-in, consentendo agli utenti con account con privilegi limitati (come gli abbonati) di ignorare i controlli sui privilegi e ottenere l’accesso a tutti gli endpoint registrati dal plug-in. Questo include un particolarmente sensibile htaccess endpoint, che è in grado di riscrivere il file .htaccess di un sito con contenuto arbitrario. Montpas ha detto che un utente malintenzionato potrebbe abusare di questa funzione per nascondersi .htaccess backdoor ed eseguire codice dannoso sul server.

All in One SEO è attivo su oltre 3 milioni di siti WordPress e ogni versione del plug-in tra la 4.0.0 e la 4.1.5.2 è interessata e vulnerabile. Gli utenti con aggiornamenti automatici abilitati per le versioni minori dovrebbero già disporre della patch da quando è stata rilasciata sei giorni fa. Per coloro che stanno aggiornando manualmente, il team di Jetpack Scan consiglia agli utenti all’interno dell’intervallo interessato di aggiornare alla versione più recente il prima possibile.