Un famoso WordPress Se ha descubierto que una vulnerabilidad conlleva una vulnerabilidad crítica que permitía a los piratas informáticos atacar sitios web, robar datos confidenciales e incluso forzarlos a desconectarse.
La vulnerabilidad, rastreada como CVE-2023-6933, fue descubierta por los expertos en seguridad de WordPress Wordfence y posteriormente reparada por el proveedor del complemento, WP Engine.
La falla consistía en una vulnerabilidad de inyección de objetos en el complemento Better Search Reemplazo de WordPress. Este complemento, que se descargó e instaló más de un millón de veces, ayuda con la búsqueda y reemplazo del trabajo en bases de datos, cuando los administradores migran sus sitios a nuevos dominios o servidores.
Miles de ataques
Todas las versiones del complemento, hasta la 1.4.5 que se lanzó la semana pasada, son vulnerables a la falla.
Sin embargo, para explotar la vulnerabilidad, primero se deben cumplir ciertas condiciones. Además de tener el complemento vulnerable, el sitio web (o un tema en el sitio) también debe contener la cadena de Programación Orientada a Propiedades (POP). Luego, la vulnerabilidad se puede utilizar para activar la cadena POP y realizar acciones maliciosas.
Y hablando de malicia, la falla permite a los atacantes hacer una serie de cosas, desde la ejecución de código, el acceso a datos confidenciales, hasta la manipulación y eliminación de archivos y llevar el sitio web a un estado perpetuo de denegación de servicio.
Wordfence informó que en sólo 24 horas, los piratas informáticos iniciaron más de 2500 ataques, todos los cuales fueron bloqueados.
Se recomienda a los usuarios que actualicen su complemento a la versión 1.4.5. lo antes posible. El sitio web WordPress.org dice que cuatro de cada cinco instalaciones son para la versión 1.4, pero no muestra estadísticas para versiones menores.
Como un Creador de sitios web, WordPress generalmente se considera seguro. Los complementos, la mayoría de los cuales son creados por terceros, no tanto. Muchos de ellos no son comerciales, son desarrollados por un equipo pequeño y, a menudo, no reciben el mantenimiento adecuado. Eso los convierte en candidatos ideales para servir como puerta de entrada a infracciones y otras actividades maliciosas.
A través de pitidocomputadora
