Hackerii ar putea prelua controlul unui blog WordPress printr-un singur comentariu

Până ieri, foarte multe bloguri care utilizau WordPress erau vulnerabile în fața atacurilor. Printr-un singur comment, hackerii puteau prelua controlul site-ului.

O nouă vulnerabilitate a blogurilor care se folosesc de WordPress a fost scoasă în evidență de curând. Din câte se pare, cu ajutorul unui comentariu suficient de lung, o persoana rău-intenționată putea prelua controlul unui blog WordPress. Vulnerabilitatea a fost descoperită de către un angajat al unei companii finlandeze de securitate.

WordPress este folosit la acest moment de nu mai puțin de o cincime din totalitatea website-urilor, conform site-ului Motherboard. Comentariul trebuia să aibă aproximativ 65.000 de caractere, ceea ce ar însemna o dimensiune de 64kb. Pentru ca atacul să poată fi efectuat, comentariul trebuia să conțină un anumit cod Java, iar blogul trebuia să utilizeze sistemul de comentarii standard de pe WordPress.

În cazul în care comentariul era suficient de lung, acesta era truncat, iar codul urma să fie executat. Atacul era inițiat în momentul în care administratorul site-ului vedea comentariul. Atunci, hackerul putea prelua controlul, având chiar posibilitatea de a schimba parola. Vulnerabilitățile de acest tip sunt cunoscute drept ”cross-site scripting” și au afectat majoritatea versiunilor de WordPress, printre care și ultima. Ieri, însă, a fost scoasă o nouă versiune care rezolvă această problemă, iar upgrade-ul este recomandat tuturor celor care folosesc platforma.

Cei care folosesc plugin-ul Aksimet nu au fost însă expuși unor astfel de atacuri, așa cum reiese din comunicatul WordPress către Motherboard. Este de menționat viteza cu care problema a fost rezolvat, având în vedere că în cazul unui alt bug, descoperit în 2014, companiei i-a luat nu mai puțin de 14 luni pentru a lansa un patch.