Varios plugins populares de WordPress son vulnerables

0

Vulnerabilidad XSS en WordPress

Los ataques de tipo Cross-site Scripting son un problema de gran calibre en Internet. Muchas webs vulnerables -en el caso de hoy, por culpa de ciertos plugins- pueden recibir ataques denominados XSS de forma breve, que tiene como consecuencia el robo de contraseñas, la modificación de parámetros o el robo de cuentas de usuario, para posteriores intentos de Phishing.

Ojo a los plugins populares de WordPress

Pues son escudriñados constantemente por los atacantes para encontrae vectores de ataque. Hablamos de problemas de seguridad situados “dentro” de las tripas del popular CMS y que afectarían a cientos de miles de webs en su conjunto.

Concretamente, estos plugins de terceros de WordPress (no son del repositorio oficial) emplean de forma incorrecta dos funciones:

  • add_query_arg()
  • remove_query_arg()

Los riesgos de dos de estos populares plugins –WordPress SEO by Yoast y Google Analytics by Yoast ya fueron alertados por su creador -Joost de Valk- y hablamos de millones de usuarios a nivel mundial.

Pero nada de culpar solamente al desarrollador pues, como este explicó en una entrada de su blog, el fallo se debió principalmente a un error en la documentación para desarrolladores de WordPress.

Lo realmente preocupante

Por supuesto, si una empresa de desarrollo de plugins profesional como Yoast ha puesto a sus usuarios en riesgo de un ataque XSS, simplemente por seguir la documentación de código del propio WordPress, existen bastantes posibilidades de que otros plugins tengan el mismo problema.

La lista de plugins afectados

Como destaca Sucuri, un equipo de profesionales de seguridad asociados a la plataforma han hecho el duro trabajo de descubrir todos los plugins afectados, entre los que se incluyen:

  • Jetpack
  • WordPress SEO
  • Google Analytics by Yoast
  • All In one SEO
  • Gravity Forms
  • Multiple Plugins from Easy Digital Downloads
  • UpdraftPlus
  • WP-E-Commerce
  • WPTouch
  • Download Monitor
  • Related Posts for WordPress
  • My Calendar
  • P3 Profiler
  • Give
  • Multiple iThemes products including Builder and Exchange
  • Broken-Link-Checker
  • Ninja Forms

yoast-seo-premium

Por desgracia, no ha sido posible comprobar cada plugin existente en los repositorios de WordPress de forma individual, pues hablamos de casi 40000. Tan solo un 2% de los plugins totales han sido comprobados.

¿Qué medidas puedo tomar?

Vayamos por partes. Si administramos un sitio web con WordPress, lo primero debe ser actualizar nuestros plugins. Los anteriormente citados ya han sido actualizados en su totalidad. Si entramos en nuestro panel de instrumentación wp-admin podremos hacerlo rápidamente.

Llegados aquí, no sería mala idea hacerse a sí mismo algunas preguntas:

  1. ¿Estoy haciendo algo para fortalecer mi sitio web y gestor de contenido WordPress? Por ejemplo, podríamos restringir el acceso a nuestra interfaz de administrador para determinadas direcciones IP.
  2. ¿Tengo la costumbre de iniciar sesión como administrador siempre que entro a WordPress o, por el contrario, solo cuando necesito esos privilegios?
  3. ¿He revisado la lista de plugins instalados y  en desuso para deshacerme de ellos y eliminar posibles vectores de ataque?

Y finalmente y no menos importante: considerad la utilización de sistemas de prevención de intrusiones o firewall para reducir las opciones de un intento de ataque de tipo XSS.

Compartir.

Sobre el Autor

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.

Dejar una Respuesta

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR