WordPress dicht lekken die toegang tot websites kunnen geven
Er is een nieuwe versie van WordPress verschenen die meerdere kwetsbaarheden verhelpt waardoor een aanvaller toegang tot websites had kunnen krijgen. WordPress 5.2.3 verhelpt in totaal acht beveiligingslekken, waarvan zeven keer cross-site scripting (XSS).
Bij XSS plaatst een aanvaller code op een website die vervolgens in de browser van bezoekers wordt uitgevoerd. De nu verholpen XSS-lekken zijn dan ook voornamelijk een probleem voor websites die bezoekers en gebruikers toestaan om reacties te plaatsen. Een aanvaller zou een reactie met XSS-code kunnen achterlaten. Zodra de beheerder dit bericht bekijkt wordt de XSS-code in zijn browser uitgevoerd en kan de aanvaller een nieuwe beheerder aanmaken. Een andere aanvalsvector voor de XSS-lekken is het sturen van een kwaadaardige link naar een ingelogde beheerder.
De achtste kwetsbaarheid betrof een open redirect waardoor gebruikers naar andere url's konden worden doorgestuurd. WordPress ging niet goed om met het valideren en sanitizen van een url, waardoor een open redirect mogelikj was. Zodoende had een aanvaller een link kunnen maken die begon met de vertrouwde kwetsbare website, maar vervolgens zou uitkomen op een malafide site. Dergelijke kwetsbaarheden worden vaak bij phishingaanvallen gebruikt, stelt securitybedrijf Wordfence. Updaten naar WordPress 5.2.3 kan via de automatische updatefunctie of het WordPress-dashboard.
Echt een top plugin! Aanrader! https://nl.wordpress.org/plugins/companion-auto-update/
Echt een top plugin! Aanrader! https://nl.wordpress.org/plugins/companion-auto-update/
Geen plugin voor nodig, Wordpress doet de update zelf....
Echt een top plugin! Aanrader! https://nl.wordpress.org/plugins/companion-auto-update/
Want anders ga je op je snuitje. Of je verzuipt bijna.
Het is oppassen voor de jonge garde vooral. Die denken dat als ze tijdlijnen kunnen lezen, likes kunnen klikken en weten hoe je iemand ontvriend, dat dat het hele internet is. En dat ze niks meer te leren hebben.
Ze zouden kunnen beginnen met dagelijks bijvoorbeeld eens op security.nl te kijken. Want ook fietsers in de tour de france gaan wel eens op hun plaat en ook geoefende zwemmers halen soms het randje maar net. Maar dat is dan toch een ander verhaal.
Het begint met willen leren fietsen. En willen leren zwemmen. Dan kun je met wordpress prima uit de voeten.
Mits je je literatuur bijhoudt.
het onderliggende PHP. Laat alles niet te luid schreeuwen via excessieve info proliferacj?, user enumerstion enabled, directory listing enabled, af te voeren code in kernel, thema's en plugins, JavaScript errors, sinks &sources, best header en andere best policies. Listen, fuzzen etc.
luntrus
En natuurlijk al die snelle bouwers met PHP gebaseerd CMS,
waarna degelijk onderhoud meestal uitblijft.
Tel uit je winst, gelikte sites
maar rammelend qua security.
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
