WordPress Plugin WP-Syntax Vulnerabile Consente l’Esecuzione Remota di Codice

Chi usa WordPress e il plugin WP-Syntax dovrebbe assicurarsi di utilizzare l’ultima versione (0.9.8). La versione 0.9.1 e precedenti sono vulnerabili e permettono l’esecuzione remota di codice.

WordPress è il più diffuso CMS (Content Management System) dedicato allo sviluppo di blog. La forza di WordPress è la possibilità di estenderne le funzionalità e l’aspetto tramite plugin e temi di terze parti.

WP-Syntax è un plugin che permette di evidenziare codice sorgente mettendo in risalto le parole chiave di svariati linguaggi di programmazione. E’ possibile anche inserire i numeri di linea per semplificare la leggibilità del listato. Si tratta di un plugin utilizzato soprattutto da blog di programmazione dove è frequente la necessità di presentare codici sorgenti.

La descrizione dell’exploit da alcuni giorni è disponibile su milw0rm. La vulnerabilità, che si avvale della mancata inizializzazione di una variabile e si manifesta in presenza dell’impostazione ‘register_globals = on’, è stata scoperta da raz0r e presentata su di un forum russo il 26/12/2008,  ma solo recentemente un individuo noto come Inj3ct0r l’ha divulgata, rivendicandone anche la paternità.

Superfluo dire che l’aggiornamento all’ultima versione di WP-Syntax è d’obbligo per evitare brutte sorprese.

4 comments to “WordPress Plugin WP-Syntax Vulnerabile Consente l’Esecuzione Remota di Codice”
  1. Pingback: Technotizie.it

  2. a quanto pare st’ inj3ct0r la paternita’ la rivendica sempre, alla tipo: non si sa mai che qualche coglione ci casca… …forse dovremo iniziare ad associare qualche brutta definizione accanto al suo nick.

    ciao & keep up the giid work 😉

Comments are closed.