Gli esperti di Wordfence Threat Intelligence hanno divulgato la ricerca di due vulnerabilità Cross-Site Request Forgery (CSRF) nella NextGen Gallery, un popolare plug-in di WordPress con oltre 800.000 installazioni, inclusa una vulnerabilità di gravità critica che potrebbe portare all’esecuzione di codice remoto (RCE) e Stored Cross-Site Scripting (XSS). Lo sfruttamento di queste vulnerabilità potrebbe portare all’acquisizione di un sito, reindirizzamenti dannosi, spam injection, phishing e molto altro.
NextGen Gallery ha un’unica funzione di sicurezza che viene utilizzata per proteggere la maggior parte delle sue impostazioni. Un difetto logico in questa funzione ha aperto una serie di opportunità per gli aggressori tramite Cross-Site Request Forgery.
“Una caratteristica di NextGen Gallery è la possibilità per gli amministratori di caricare file CSS personalizzati da utilizzare per lo stile delle gallerie. Mentre il file caricato doveva terminare con l’estensione .css, era possibile caricare codice arbitrario con doppie estensioni, (es file.php.css.). Sebbene questi file siano eseguibili solo su determinate configurazioni, come Apache / mod_php con una direttiva AddHandler, ciò potrebbe comunque comportare l’esecuzione di codice in modalità remota su qualsiasi configurazione vulnerabile”, si legge nella ricerca.
Inoltre, è stato anche possibile ottenere l’esecuzione del codice anche su configurazioni non vulnerabili alle doppie estensioni. Risulta infatti possibile impostare vari tipi di album per utilizzare un modello con il percorso assoluto del file caricato nel passaggio precedente, oppure eseguire un attacco di attraversamento della directory utilizzando il percorso relativo del file caricato, indipendentemente dall’estensione di quel file, tramite un Attacco CSRF.
“Ciò comporterebbe l’inclusione di file locali (LFI) e l’esecuzione di codice remoto (RCE), poiché il file caricato verrebbe quindi incluso ed eseguito ogni volta che il tipo di album selezionato viene visualizzato sul sito. Verrebbe eseguito anche qualsiasi JavaScript incluso nel file caricato, risultando in Cross-Site Scripting (XSS)”, continuano gli esperti.
Una volta che un utente malintenzionato raggiunge l’esecuzione di codice in modalità remota su un sito Web, ha preso il controllo di quel sito. Allo stesso modo, XSS può essere utilizzato per assumere il controllo di un sito se un amministratore connesso visita una pagina che esegue uno script iniettato dannoso.
Gli esperti hanno coperto queste due vulnerabilità nella NextGen Gallery, inclusa una falsificazione di richieste cross-site di gravità critica (CSRF) che potrebbe essere utilizzata per rilevare un sito tramite Remote Code Execution (RCE) e consigliato vivamente ai proprietari dei siti di eseguire l’aggiornamento all’ultima versione disponibile, che è 3.5.0.
