WordPress-sites via malafide reacties over te nemen
Er is een beveiligingsupdate voor WordPress verschenen die meerdere beveiligingslekken verhelpt waardoor aanvallers in het ergste geval kwetsbare websites via malafide reacties hadden kunnen overnemen. In het geval WordPress-sites reacties toelaten had een aanvaller een dergelijke reactie kunnen plaatsen, waarna er een cross-site scripting-aanval mogelijk was, zo meldt het WordPress-ontwikkelteam.
"Een aanvaller had deze kwetsbaarheid kunnen gebruiken om een kwetsbare website over te nemen", aldus het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid. De beveiligingslekken zijn aanwezig in WordPress 5.1 en eerder. Beheerders krijgen het advies om te updaten naar WordPress 5.1.1. Onlangs werd bekend dat veel WordPress-sites worden gehackt omdat de verantwoordelijke webmaster beschikbare updates niet installeert.
PHP...
Ja, PHP biedt developers veel vrijheid en heeft issues als weak types die als tekortkomingen worden gezien.
Maar als je goede developers hebt die kennis hebben van software architectuur, (secure) coding principles en zaken als code reviews en security tests in hun SDLC op orde hebben kan je ook met PHP dichtgespijkerde applicaties bouwen.
Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.
En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...
<> en </>. De boel is in dat geval dus niet goed ge-"escaped". In zo'n geval van zo'n fout, kun je inderdaad de poppen lekker aan het dansen hebben. De client/de browser gaat dat script in plaats van txt gewoon uitvoeren. No two ways about it.
Kan altijd een keer gebeuren en zou liefst even netjes gemeld moeten worden, zodat de developer het in de HTML code kan verhelpen.
Abusers en malcreanten met code injectie intenties, zitten natuurlijk te wachten op zulk soort van buitenkansjes en doen helaas voor de slachtoffers niet aan "responsible disclosure".
luntrus
Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.
En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...
Natuurlijk, ik werk zelf ook met PHP en vnl. Drupal en Laravel. Het kost alleen véél meer moeite en je weet nooit wanneer PHP je toch weer te grazen zal nemen. Met een professionele programmeertaal (zoals Java EE) heb je dat soort problemen niet. Want daarop kan je vertrouwen en daarop kan je bouwen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
