Инсталиран на повече от 1 милион WordPress сайтове, плъгин регистрира паролите в открит вид

Популярният плъгин за безопасност All-In-One Security (AIOS), предназначен за WordPress-сайтовете, е инсталиран на повече от 1 милион уеб-ресурси. Оказа се, че плъгинът е регистрирал потребителските пароли в обикновен текст в продължение на няколко седмици и ги е съхранявал в база данни, достъпни за администраторите на сайта. За да коригират този проблем, разработчиците пуснаха кръпка.

AIOS улавя потребителските пароли в процеса на регистрация. Според разработчиците записването на паролите в обикновен текст се дължи на софтуерен бъг, направен в кода на AIOS 5.1.9, пуснат през май тази година. През настоящата седмица разработчиците пуснаха AIOS 5.2.0, след инсталирането на който проблемът със записа на паролите ще бъде решен и информацията, добавена по-рано в базата данни, ще бъдат изтрита.

Говорител на разработчиците на AIOS потвърди, че “трябва да сте влезли с административни привилегии от най-високо ниво, за да се възползвате от този бъг“’ Експертите по информационна сигурност обаче отдавна съветват администраторите на сайтове да не съхраняват паролите в чист текст. Това се дължи на факта, че в продължение на много години за хакерите е било сравнително лесно да проникват в сайтовете и да крадат информация, съхранявана в базите данни. В този контекст, записването на паролите в чист текст във всяка база данни, независимо кой има достъп до нея, е нарушение на безопасността.

По този начин, плъгинът AIOS фиксира потребителските пароли в ясен текст за поне три седмици, докато един от потребителите на софтуера не забелязва тази особеност. Заедно с пускането на новата версия на плъгина, разработчиците се извиниха на потребителите за грешката и препоръчаха AIOS да се актуализира до версия 5.2.0 възможно най-скоро.