Mennyire biztonságosak a WordPress bővítményei?

Egy érdekes kutatási eredmény jelent meg a WordPress-hez elérhető kiegészítők biztonságával kapcsolatban.
 
hirdetés
A RIPS Technologies szakemberei úgy határoztak, hogy alaposan szemügyre veszik a WordPress bővítmények biztonságát. Ez a gondolat persze nem véletlenül fordult meg a fejükben, hiszen a tartalomkezelő biztonságát alapvetően határozzák meg az azokhoz elérhető kiegészítők.
 
A RIPS úgy határozott, hogy a WordPress hivatalos Plugin weboldaláról az összes - több mint 48 ezer - kiegészítőt letölti, és statikus kódelemzéseknek veti alá azokat. A statisztikákból látszik, hogy a vizsgált bővítmények közül 14 ezerhez mindössze 2-5 fájl tartozott, és csak 10.500-ról volt elmondható, hogy a forráskód hossza meghaladta az 500 sort.
 
A vizsgálati eredmények szerint körülbelül 36.000 ezer bővítményben nem lehetett kimutatni biztonsági rést az alkalmazott módszerekkel. Természetesen ez nem azt jelenti, hogy egyéb kódelemző technikák nem hozhatnak felszínre további sebezhetőségeket. 1426 bővítmény kapcsán lehetett kimutatni legalább egy alacsony veszélyességi besorolású biztonsági hibát. A közepes kockázatú hibát rejtő pluginek száma 4600-ra, míg a magas besorolású sérülékenységekkel tarkított kiegészítők mennyisége 2799-re adódott. 41 bővítmény pedig kritikus veszélyességű biztonsági rést is tartalmazott.
 
Hibatípusok

A legtöbb sebezhetőség XSS (cross-site scripting) alapú támadásokhoz képes hozzájárulni. Az esetek 20 százalékában pedig SQL injectionre módot adó biztonsági résekre derült fény. Ez a kétfajta sérülékenység okozza a legtöbb gondot.
 
A RIPS felmérése szerint idén a legtöbb támadás az alábbi bővítmények ellen irányult:
  • Revolution Slider
  • Beauty & Clean Theme
  • MiwoFTP
  • Simple Backup
Vélemények
 
  1. 3

    A phpMyAdmin két sebezhetőséget tartalmaz.

  2. 3

    A Dropbox Android kompatibilis mobil alkalmazását két sérülékenység sújtja.

  3. 1

    A Danabot trójai túlzottan nagy érdeklődéssel figyeli a levelező- és FTP-szoftvereket, hogy aztán azokból hitelesítő adatokat kaparintson meg.

 
Partnerhírek
Foci-vb: hamis nyereményjátékok és mezek

Az ESET szakemberei felhívták a figyelmet arra, hogy a szurkolók mellett a csalók is készen állnak az oroszországi labdarúgó-világbajnokságra, és óvatosságra intették a felhasználókat.

​Virtuális asszisztens vagy beépített ügynök?

A reklámvideók szerint a virtuális asszisztensek jelentősen megkönnyítik a mindennapjainkat. De mint minden technológiai termék esetében, a biztonságra itt is figyelnünk kell.

hirdetés
Közösség
1