Oltre 40.000 siti WordPress sono stati colpiti da una vulnerabilità di Privilege Escalation nel plugin Post Grid e Gutenberg Blocks, che consente a utenti autenticati con permessi minimi di elevare il proprio ruolo ad amministratore. Questo tipo di attacco può compromettere completamente un sito, permettendo agli attaccanti di ottenere il pieno controllo.
La vulnerabilità è stata scoperta e segnalata il 14 agosto 2024 dal ricercatore wesley (wcraft) attraverso il Wordfence Bug Bounty Program, che gli ha fruttato una ricompensa di $1.127,00. Wordfence ha inviato i dettagli al team del plugin il 28 agosto 2024, e una patch correttiva è stata rilasciata il 5 settembre 2024 con la versione 2.2.91. Gli utenti di Wordfence Premium, Care e Response hanno ricevuto una regola firewall personalizzata per proteggersi dagli exploit di questa vulnerabilità già dal 28 agosto 2024, mentre gli utenti della versione gratuita riceveranno la stessa protezione dal 27 settembre 2024.
Dettagli della vulnerabilità
La vulnerabilità è presente nelle versioni 2.2.87 – 2.2.90 del plugin e riguarda la gestione delle form submission per l’aggiornamento dei profili utente, che non ha implementato correttamente le restrizioni sui valori di user meta. Ciò ha permesso agli utenti di livello subscriber o superiore di modificare le loro autorizzazioni e ottenere i privilegi di amministratore.
“La funzione
update_user_meta()utilizzata dal plugin non ha eseguito filtri adeguati sui metadati utente aggiornabili, permettendo di inserire combinazioni arbitrarie che assegnano il ruolo di amministratore,” ha spiegato Wordfence.
Rischi per i siti WordPress
Questa vulnerabilità rappresenta un rischio critico perché consente di sfruttare il plugin per prendere il controllo completo del sito. Una volta acquisiti i privilegi di amministratore, l’attaccante può installare plugin dannosi, eseguire codice arbitrario e apportare ulteriori modifiche alla piattaforma.
Aggiornamento consigliato
Si raccomanda a tutti gli utenti di Post Grid e Gutenberg Blocks di aggiornare immediatamente il plugin alla versione più recente, 2.2.91, per proteggere il proprio sito da possibili attacchi.
