El complemento de seguridad de WordPress ha descubierto dos vulnerabilidades que podrían permitir la carga maliciosa, las secuencias de comandos entre sitios y permitir la visualización de contenidos de archivos arbitrarios.
Complemento de WordPress de seguridad todo en uno (AIOS)
Proporcionado por los editores de UpdraftPlus, el complemento WordPress Security All-In-One Security (AIOS) brinda seguridad y funcionalidad de firewall diseñada para mantener alejados a los piratas informáticos.
Ofrece protección de seguridad de inicio de sesión que bloquea a los atacantes, protección contra la suplantación de identidad, bloqueo de enlaces activos, bloqueo de comentarios no deseados y un firewall que actúa como defensa contra las amenazas de piratería.
El complemento también aplica seguridad proactiva al alertar a los usuarios sobre errores comunes, como el uso del nombre de usuario «admin».
Es un paquete de seguridad integral respaldado por los creadores de Updraft Plus, uno de los editores de complementos de WordPress más confiables.
Estas cualidades hacen que AIOS sea muy popular, con más de 1 millón de instalaciones de WordPress.
Dos tipos de debilidades
La base de datos nacional de vulnerabilidades (NVD) del gobierno de EE. UU. ha publicado un par de advertencias sobre dos vulnerabilidades.
1. El saneamiento de datos falla
La primera vulnerabilidad se debe a una falla en la limpieza de datos, específicamente una falla al escapar de los archivos de registro.
El escape de datos es un proceso de seguridad básico que elimina los datos confidenciales de la salida generada por el complemento.
WordPress también tiene una página para desarrolladores dedicada al tema, con ejemplos de cómo y cuándo hacerlo.
WordPress ‘ La página del desarrollador sobre salidas de escape explica:
El escape de salida es el proceso de proteger los datos de salida mediante la eliminación de datos no deseados, como etiquetas de secuencias de comandos o HTML con formato incorrecto.
Este proceso ayuda a proteger sus datos antes de que se muestren al usuario final”.
NVD describe esta vulnerabilidad:
El complemento WordPress Security (AIOS) All-In-One Security (AIOS) anterior a la versión 5.1.5 no escapa al contenido de los archivos de registro antes de enviarlos a la página de administración del complemento, lo que permite al usuario autorizado (admin+) plantar archivos de registro falsos contienen código JavaScript malicioso que se ejecutará en el contexto de cualquier administrador que visite esta página».
2. Una vulnerabilidad de escaneo de directorio
La segunda vulnerabilidad parece ser una vulnerabilidad de exploración de rutas.
Esta vulnerabilidad permite que un atacante aproveche una falla de seguridad para obtener acceso a archivos que normalmente son inaccesibles.
Sin ánimo de lucro El Proyecto de seguridad de aplicaciones de mundo abierto (OWASP) advierte Un ataque exitoso puede comprometer archivos importantes del sistema.
Un ataque de recorrido de ruta (también conocido como recorrido de directorio) tiene como objetivo acceder a archivos y directorios almacenados fuera de la carpeta raíz web.
Al manipular variables que apuntan a archivos con secuencias y variaciones «punto-punto-barra (../)» o usar rutas de archivo absolutas, es posible acceder a archivos y directorios arbitrarios almacenados en el sistema de archivos, incluido el código fuente de la aplicación o la configuración y archivos importantes del sistema».
NVD describe esta vulnerabilidad:
El complemento de WordPress All-in-One Security (AIOS) anterior a la versión 5.1.5 no limita los archivos de registro que se mostrarán en sus páginas de configuración, lo que permite que un usuario autorizado (admin +) vea el contenido de archivos arbitrarios y directorios de listas en cualquier lugar del servidor (al que puede acceder el servidor web).
El complemento muestra solo las últimas 50 líneas del archivo «.
Ambas vulnerabilidades requieren que un atacante obtenga credenciales de nivel de administrador para explotar el ataque, lo que podría dificultar que ocurra el ataque.
Sin embargo, uno esperaría que un complemento de seguridad no tuviera este tipo de vulnerabilidades prevenibles.
Considere actualizar el complemento AIOS WordPress
AIOS ha lanzado un parche en la versión 5.1.6 del complemento. Es posible que los usuarios deseen considerar actualizar al menos a la versión 5.1.6, y posiblemente a la última versión, 5.1.7, que soluciona el bloqueo que ocurre cuando el firewall no está configurado.
Lea los dos boletines de seguridad de NVD
Imagen destacada de Shutterstock / Kues
«Defensor de la Web. Geek de la comida galardonado. Incapaz de escribir con guantes de boxeo puestos. Apasionado jugador».
More Stories
Google lanza un nuevo impulso de IA para millones de teléfonos Android más antiguos
Sundar Pichai cumple 20 años en Google y dice: “Aún me siento afortunado”
La IA emocional ofrece nuevas formas de conectarse con los consumidores