Nieuws
image

WordPress-sites via malafide reacties over te nemen

donderdag 14 maart 2019, 16:04 door Redactie, 6 reacties

Er is een beveiligingsupdate voor WordPress verschenen die meerdere beveiligingslekken verhelpt waardoor aanvallers in het ergste geval kwetsbare websites via malafide reacties hadden kunnen overnemen. In het geval WordPress-sites reacties toelaten had een aanvaller een dergelijke reactie kunnen plaatsen, waarna er een cross-site scripting-aanval mogelijk was, zo meldt het WordPress-ontwikkelteam.

"Een aanvaller had deze kwetsbaarheid kunnen gebruiken om een kwetsbare website over te nemen", aldus het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid. De beveiligingslekken zijn aanwezig in WordPress 5.1 en eerder. Beheerders krijgen het advies om te updaten naar WordPress 5.1.1. Onlangs werd bekend dat veel WordPress-sites worden gehackt omdat de verantwoordelijke webmaster beschikbare updates niet installeert.

Reacties (6)
14-03-2019, 16:22 door Anoniem
Wordpress, en vooral de plugins komen best vaak langs,. is het nou echt zo moeilijk voor ze om dat een beetje netjes dicht te spijkeren?
14-03-2019, 20:42 door Krakatau
Door Anoniem: Wordpress, en vooral de plugins komen best vaak langs,. is het nou echt zo moeilijk voor ze om dat een beetje netjes dicht te spijkeren?

PHP...
15-03-2019, 09:59 door Anoniem
Nooit begrepen waarom Wordpress zo groot is geworden. Rommelige interface en je blijft maar updaten. Zeker als je wat extra plug-ins hebt geïnstalleerd.
15-03-2019, 10:09 door Anoniem
Beetje kort door de bocht om het allemaal op PHP te schuiven.

Ja, PHP biedt developers veel vrijheid en heeft issues als weak types die als tekortkomingen worden gezien.
Maar als je goede developers hebt die kennis hebben van software architectuur, (secure) coding principles en zaken als code reviews en security tests in hun SDLC op orde hebben kan je ook met PHP dichtgespijkerde applicaties bouwen.

Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.

En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...
15-03-2019, 19:21 door Anoniem
Dit kan allemaal, als er op het reactieformulier niet gezorgd is, dat er geen uitvoerbaar script kan worden gedraaid tussen
<> en </>. De boel is in dat geval dus niet goed ge-"escaped". In zo'n geval van zo'n fout, kun je inderdaad de poppen lekker aan het dansen hebben. De client/de browser gaat dat script in plaats van txt gewoon uitvoeren. No two ways about it.

Kan altijd een keer gebeuren en zou liefst even netjes gemeld moeten worden, zodat de developer het in de HTML code kan verhelpen.

Abusers en malcreanten met code injectie intenties, zitten natuurlijk te wachten op zulk soort van buitenkansjes en doen helaas voor de slachtoffers niet aan "responsible disclosure".

luntrus
16-03-2019, 09:03 door Krakatau - Bijgewerkt: 16-03-2019, 09:24
Door Anoniem: <knip>

Zelfs als je als Webdesigner alleen maar websites bij elkaar kan klikken en weinig/geen notie hebt van secure coding kan het nog goed gaan mits je maar gebruik maakt van secure PHP frameworks zoals Symfony en Laravel en niet zelf geknutselde code erbij plakt.

En ook met Wordpress kunnen secure sites worden gemaakt (mits je geen dubieuze plugins gebruikt). Maar omdat er zoveel WP sites zijn is WP ook populair bij hackers om nieuwe vulnerabilities erin te vinden en continu te scannen naar vulnerable PHP sites. Dus gaat het vaak fout bij lakse beheerders die WP en plugins niet tijdig updaten...

Natuurlijk, ik werk zelf ook met PHP en vnl. Drupal en Laravel. Het kost alleen véél meer moeite en je weet nooit wanneer PHP je toch weer te grazen zal nemen. Met een professionele programmeertaal (zoals Java EE) heb je dat soort problemen niet. Want daarop kan je vertrouwen en daarop kan je bouwen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search