WordPress-sites via malafide reacties over te nemen
Er is een beveiligingsupdate voor WordPress verschenen die meerdere beveiligingslekken verhelpt waardoor aanvallers in het ergste geval kwetsbare websites via malafide reacties hadden kunnen overnemen. In het geval WordPress-sites reacties toelaten had een aanvaller een dergelijke reactie kunnen plaatsen, waarna er een cross-site scripting-aanval mogelijk was, zo meldt het WordPress-ontwikkelteam.
"Een aanvaller had deze kwetsbaarheid kunnen gebruiken om een kwetsbare website over te nemen", aldus het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid. De beveiligingslekken zijn aanwezig in WordPress 5.1 en eerder. Beheerders krijgen het advies om te updaten naar WordPress 5.1.1. Onlangs werd bekend dat veel WordPress-sites worden gehackt omdat de verantwoordelijke webmaster beschikbare updates niet installeert.
PHP...
Ja, PHP biedt developers veel vrijheid en heeft issues als weak types die als tekortkomingen worden gezien.
Maar als je goede developers hebt die kennis hebben van software architectuur, (secure) coding principles en zaken als code reviews en security tests in hun SDLC op orde hebben kan je ook met PHP dichtgespijkerde applicaties bouwen.
Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.
En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...
<> en </>. De boel is in dat geval dus niet goed ge-"escaped". In zo'n geval van zo'n fout, kun je inderdaad de poppen lekker aan het dansen hebben. De client/de browser gaat dat script in plaats van txt gewoon uitvoeren. No two ways about it.
Kan altijd een keer gebeuren en zou liefst even netjes gemeld moeten worden, zodat de developer het in de HTML code kan verhelpen.
Abusers en malcreanten met code injectie intenties, zitten natuurlijk te wachten op zulk soort van buitenkansjes en doen helaas voor de slachtoffers niet aan "responsible disclosure".
luntrus
Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.
En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...
Natuurlijk, ik werk zelf ook met PHP en vnl. Drupal en Laravel. Het kost alleen véél meer moeite en je weet nooit wanneer PHP je toch weer te grazen zal nemen. Met een professionele programmeertaal (zoals Java EE) heb je dat soort problemen niet. Want daarop kan je vertrouwen en daarop kan je bouwen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
