User Activity Log <= 1.6.2 - Serangan SQL Injection Melalui Username Tanpa Otorisasi

User Activity Log <= 1.6.2 - Serangan SQL Injection Melalui Username Tanpa Otorisasi

Sebuah kerentanan keamanan telah ditemukan pada plugin User Activity Log untuk platform WordPress. Plugin ini rentan terhadap serangan SQL Injection umum melalui nilai username saat login pada versi hingga 1.6.2, termasuk versi tersebut. Kerentanan ini disebabkan oleh kurangnya pengamanan pada parameter yang diberikan oleh pengguna dan kurangnya persiapan yang cukup pada query SQL yang ada di dalam fungsi ual_shook_wp_login_failed. Hal ini memungkinkan penyerang yang tidak terautentikasi untuk menambahkan query SQL tambahan ke dalam query yang sudah ada, yang dapat digunakan untuk mengambil informasi sensitif dari database. Untuk berhasil melakukan serangan ini, opsi login_failed_non_existing_user harus diaktifkan.

Serangan SQL Injection adalah jenis serangan yang memanfaatkan celah keamanan pada aplikasi yang menggunakan basis data. Dalam kasus ini, penyerang dapat memanipulasi input username dengan menyisipkan kode SQL berbahaya, yang kemudian akan dieksekusi oleh sistem basis data, membuka pintu bagi penyerang untuk mengakses, mengubah, atau menghapus data yang sensitif.

Untuk mengatasi masalah ini, tim pengembang telah merilis versi perbaikan, yaitu versi 1.6.3. Pembaruan ini mengatasi celah keamanan yang ada, dengan melakukan escapting yang memadai pada parameter yang diberikan oleh pengguna dan mempersiapkan query SQL dengan benar sebelum dieksekusi. Pengguna yang terdampak disarankan untuk segera memperbarui plugin User Activity Log ke versi 1.6.3 atau versi yang lebih baru yang sudah diperbaiki.

Melakukan pembaruan plugin adalah langkah penting dalam menjaga keamanan website WordPress Anda. Dengan menginstal versi perbaikan, Anda dapat memastikan bahwa sistem Anda dilindungi dari serangan SQL Injection dan kerentanan keamanan lainnya yang dapat membahayakan integritas dan kerahasiaan data Anda.

Sumber:

- plugins.trac.wordpress.org

Gunakan User Activity Log dengan bijak dan pastikan Anda selalu memperbarui plugin serta mengikuti praktik keamanan terbaik untuk menjaga keamanan website WordPress Anda.

Tindakan pencegahan yang disarankan untuk menjaga keamanan website WordPress Anda meliputi:

1. Perbarui Plugin: Selalu perbarui plugin Anda ke versi terbaru yang telah diperbaiki. Pembaruan sering kali mencakup perbaikan keamanan yang penting untuk melindungi website Anda dari serangan yang diketahui.

2. Pasang Sistem Keamanan Tambahan: Gunakan plugin keamanan WordPress yang dapat membantu mendeteksi dan mencegah serangan SQL Injection serta serangan keamanan lainnya. Beberapa contoh plugin keamanan yang populer adalah Wordfence, Sucuri, atau iThemes Security.

3. Gunakan Plugin Terpercaya: Pastikan hanya menginstal plugin dari sumber terpercaya, seperti WordPress.org. Plugin dari sumber yang tidak terpercaya dapat menyimpan kerentanan keamanan yang dapat dieksploitasi oleh penyerang.

4. Gunakan Kata Sandi Kuat: Gunakan kombinasi kata sandi yang kuat dan kompleks untuk akun WordPress Anda. Kata sandi yang kuat harus terdiri dari kombinasi huruf besar dan kecil, angka, dan simbol. Hindari menggunakan kata sandi yang mudah ditebak seperti tanggal lahir atau kata-kata umum.

5. Batasi Akses Pengguna: Berikan hak akses yang tepat kepada pengguna di situs WordPress Anda. Hindari memberikan hak akses admin kepada pengguna yang tidak memerlukannya. Gunakan pengaturan peran dan izin yang sesuai untuk mengendalikan akses pengguna.

6. Lakukan Backup Berkala: Buatlah cadangan (backup) berkala dari website Anda. Jika terjadi serangan atau kerusakan, Anda dapat mengembalikan website ke keadaan yang aman dengan menggunakan cadangan terbaru.

7. Pantau Aktivitas Website: Gunakan plugin monitoring aktivitas seperti User Activity Log untuk memantau aktivitas pengguna di website Anda. Dengan memantau log aktivitas, Anda dapat mendeteksi adanya perilaku yang mencurigakan atau upaya serangan.

8. Pendidikan Keamanan: Tingkatkan pemahaman Anda tentang praktik keamanan WordPress yang baik melalui membaca artikel keamanan, mengikuti sumber daya keamanan WordPress, atau mengikuti kursus online tentang keamanan WordPress.

Dengan mengikuti langkah-langkah pencegahan ini, Anda dapat meningkatkan keamanan website WordPress Anda dan mengurangi risiko serangan SQL Injection serta serangan keamanan lainnya. Keamanan website adalah tanggung jawab bersama, jadi pastikan Anda dan tim Anda selalu berusaha menjaga keamanan dan keandalan situs Anda.

Source : https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-activity-log/user-activity-log-162-unauthenticated-sql-injection-via-username