Rilevato bug critico in Ultimate Member: 200.000 siti WordPress a rischio

Una pericolosa vulnerabilità nel plugin Ultimate Member sta mettendo a rischio oltre 200.000 siti web WordPress. Questo plugin, progettato per facilitare le procedure di registrazione e accesso degli utenti, permette ai proprietari dei siti di creare profili utente, definire ruoli, personalizzare i campi dei form e molto altro. Tuttavia, una recente criticità nella sicurezza, identificata con la sigla CVE-2023-3460 e con un punteggio CVSS di 9.8, sta consentendo agli attaccanti di creare nuovi account amministrativi sui siti WordPress che utilizzano Ultimate Member.

Scoperta della creazione di account fraudolenti

Diversi utenti del plugin hanno notato la creazione di account fraudolenti e ne hanno segnalato la presenza, indicando che gli attacchi sono in corso almeno dal principio del mese di Giugno. La causa del problema sembra essere legata a una discrepanza tra la logica di blocco del plugin Ultimate Member e il modo in cui WordPress gestisce le chiavi dei metadati.

L'errore nella gestione dei metadati

Il plugin 'Ultimate Member' usa liste di blocco per immagazzinare le chiavi dei metadati che gli utenti non dovrebbero modificare, verificando queste liste ogni volta che gli utenti tentano di registrare queste chiavi durante la creazione di un account. A causa della differenza di funzionamento tra il plugin e WordPress, gli attaccanti sono riusciti a ingannare il plugin facendogli aggiornare le chiavi dei metadati, incluso quello che memorizza il ruolo e le capacità dell'utente. Questo ha permesso agli attaccanti di registrare account con il ruolo di amministratore, attività sospetta che è stata notata e segnalata da almeno due proprietari di siti.

Misure di sicurezza suggerite e azioni dei manutentori del plugin

I manutentori del plugin, che descrivono il problema come un bug di escalation di privilegi, hanno cercato di risolverlo nelle ultime due versioni di Ultimate Member, ma sembra che non siano riusciti a risolverlo completamente. Tuttavia, hanno riconosciuto l'esistenza di exploit attivi del difetto. Per prevenire ulteriori sfruttamenti della vulnerabilità, si consiglia ai proprietari dei siti di disabilitare temporaneamente il plugin Ultimate Member e di eseguire un controllo su tutti i ruoli amministrativi dei loro siti per identificare eventuali account fraudolenti.