Ernstig lek in WordPress-plug-ins met 1,5 miljoen installaties
In negen populaire WordPress-plug-ins zijn ernstige beveiligingslekken ontdekt waarmee het mogelijk is om de achterliggende website volledig over te nemen. De plug-ins hebben bij elkaar meer dan 1,5 miljoen actieve installaties en op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheden zijn die allemaal met een 9 beoordeeld.
"Het interessante is dat acht van de negen beveiligingslekken via hetzelfde eenvoudige codepatroon zijn gevonden waardoor ze kwetsbaar voor SQL-injection waren. Ondanks de mogelijkheid tot misbruik kan het filteren van gebruikersinvoer veel ontwikkelaars gewoon niets schelen", stelt onderzoeker Tin Duong van securitybedrijf Fortinet, dat de kwetsbaarheden ontdekte.
Via SQL-injection kunnen aanvallers met de database achter een website communiceren en allerlei opdrachten uitvoeren, die eigenlijk niet uitgevoerd zouden moeten worden. Op deze manier is het mogelijk om de inhoud van databases, met bijvoorbeeld gebruikersnamen, e-mailadressen en al dan niet versleutelde wachtwoorden, te stelen. SQL-injection is een probleem dat al sinds 1998 bekend is, maar nog altijd voorkomt omdat webontwikkelaars onveilig programmeren.
"SQL-injection is geen nieuwe techniek, maar het vormt altijd een serieuze beveiligingsdreiging voor webapplicaties en webservers. Om het te voorkomen zouden ontwikkelaars altijd programmeerstandaarden en best practices voor veilig programmeren moeten volgen", merkt Duong op. Fortinet waarschuwde de betreffende ontwikkelaars die de afgelopen weken met updates kwamen.
In de praktijk blijkt dat WordPress-gebruikers hun plug-ins niet altijd updaten en zo risico lopen om te worden aangevallen. De kwetsbaarheden zijn onder andere aanwezig in de plug-ins NextGEN Gallery, Photo Gallery en Popup Builder die respectievelijk meer dan 900.000, 300.000 en 100.000 actieve installaties hebben.
Gevaarlijke functies.
Wat het gevaar is van onveilig programmeren,
ziet men hier maar weer.
WordPress en PHP, doe het veilig(er)
of brandt er je handen niet aan.
#sockpuppet
Voor wie niet verder wil zoeken, het gaat om dit lijstje:
WordPress.AJDGSolutions.AdRotate.SQL.Injection
WordPress.Adenion.Blog2Social.SQL.Injection
WordPress.Icegram.EmailSubscribers.SQL.Injection
WordPress.WPEverest.EverestForms.SQL.Injection
WordPress.FolioVision.FlowplayerVideoPlayer.SQL.Injection
WordPress.Impress.Give.SQL.Injection
WordPress.Imagely.NextGENGallery.SQL.Injection
WordPress.10Web.PhotoGallery.SQL.Injection
WordPress.Sygnoos.PopupBuilder.SQL.Injection
Mijn huidige klant, grote WP site. Directie snapt weinig tegnies, wil vaag maar wel snel en wat kost het. WP prima. Zolang je maar weet wat je uit de plugin kast kan pakken en wat niet. En ook wanneer je helemaal geen plugin nodig hebt omdat het simpeler en strakker kan.
Ik kan wel met een andere aanpak komen. Maar dan snapt de klant niet waarom het allemaal zo lang moet duren. Want alles dat wetkt is toch gemakkelijk? Duurt het te lang, waarom moet je er dan zo lang mee bezig zijn?
Ik heb er een prima boterham aan, dat WP.
Accept it, part of life die bugs en programmeerfouten.
Wie heeft er een bijbaantje voor me?
J.O.
Zo kan je simpel een webshop maken en diensten als een payment provider en verzend plugin toevoegen omdat die bedrijven daar al vaak een plugin voor hebben ontwikkeld zodat je het wiel niet opnieuw hoeft uit te vinden.
Zo is er nog steeds geen fatsoenlijke webshop te maken in Joomla zonder kennis om allerlei API's aan te roepen als je gebruik wilt maken van Nederlandse payment providers en verzendingen.
Dat snap ik niet... Apples zijn toch juist best duur?
https://educatie-en-school.infonu.nl/taal/125704-spreekwoorden-over-appels-in-de-nederlandse-taal.html
https://educatie-en-school.infonu.nl/taal/125704-spreekwoorden-over-appels-in-de-nederlandse-taal.html
Robots hebben en herkennen geen humor... Hééé!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
