Administratorii de site-uri WordPress care folosesc plugin-ul WP Slimstat sunt sfatuiti sa-l actualizeze la ultima versiune cat mai curand posibil, deoarece acesta este afectat de o vulnerabilitate critica ce poate fi exploatata pentru a accesa baza de date a site-ului.
WP Slimstat este un plugin de web analytics pentru WordPress, care a fost descarcat de peste 1,3 milioane de ori si este extrem de apreciat de catre utilizatori. Plugin-ul permite proprietarilor de site-uri WordPress sa tina evidenta vizitatorilor si a utilizatorilor inregistrati, sa monitorizeze evenimentele JavaScript, sa detecteze intruziuni, sa analizeze campaniile de e-mail marketing, si altele.
WP Slimstat folosește o cheie secreta pentru a cripta datele intre client și server. Conform Sucuri, problema este data de este faptul ca aceasta cheie secreta este de fapt un hash al timestamp-ului din momentul instalarii plugin-ului, si poate fi usor de aflat folosind un atac de tip bruteforce.
Un atacator poate folosi servicii precum Internet Archive pentru a afla anul in care a fost lansat site-ul vizat. Cercetatorii au remarcat faptul ca odata ce se identifica anul, un atacator trebuie sa testeze aproximativ 30 de milioane de timestamp-uri, o sarcina pe care un procesor modern o poate realiza in 10 minute.
Dupa investigatii suplimentare, cercetatorii au descoperit ca vulnerabilitatea poate fi exploatata pentru a lansa atacuri de tip SQL injection. Astfel, s-ar putea obtine accesul la username-uri, hash-urile parolelor, chei secrete WordPress, precum si alte informatii stocate in baza de date a site-ului si care ar putea fi folosite pentru a prealua controlul total asupra unui site WordPress.
Vulnerabilitatea afecteaza WP Slimstat 3.9.5 si versiunile anterioare. Problema a fost remediata in versiunea 3.9.6, iar dezvoltatorul a luat masuri suplimentare pentru a proteja utilizatorii impotriva atacurilor SQL injection.
Rugam toti clientii megahost.ro care folosesc plugin-ul WP Slimstat sa-i faca update urgent la ultima versiune, pentru a evita situatiile neplacute.