Millones de sitios de WordPress reciben actualizaciones forzadas para corregir errores críticos de complementos

imágenes falsas

Millones de sitios de WordPress recibieron una actualización forzada el día pasado para abordar una vulnerabilidad crítica en un complemento llamado UpdraftPlus.

Debido a la gravedad de la vulnerabilidad, se proporcionó un parche obligatorio a pedido de los desarrolladores de UpdraftPlus, que permitía descargar la base de datos privada del sitio siempre que hubiera una cuenta en el sitio que pudiera dañar a suscriptores, clientes y otros no confiables. Las bases de datos a menudo contienen información confidencial sobre los clientes o la configuración de seguridad del sitio, lo que permite que millones de sitios cometan violaciones graves de datos que podrían extenderse a contraseñas, nombres de usuario, direcciones IP y más.

Malos resultados, fácil de explotar

Updraft Plus simplifica el proceso de copia de seguridad y restauración de bases de datos de sitios web y es el complemento de copia de seguridad programada más utilizado en Internet para el sistema de gestión de contenido de WordPress. Agiliza la copia de seguridad de datos en Dropbox, Google Drive, Amazon S3 y otros servicios en la nube. Sus desarrolladores dicen que permite a los usuarios programar copias de seguridad periódicas y que es más rápido y utiliza menos recursos del servidor que los complementos de WordPress de la competencia.

«Este error es muy fácil de usar y tiene muy malas consecuencias si se explota», dijo el investigador de seguridad Mark Montpas, quien descubrió la vulnerabilidad y la informó en privado a los desarrolladores del complemento. “Es posible que los usuarios menos autorizados descarguen copias de seguridad del sitio, incluidas las copias de seguridad de la base de datos sin procesar. Las cuentas de privilegios bajos representan muchas cosas. Suscriptores habituales, clientes (por ejemplo, en sitios de comercio electrónico), etc. ”

READ  Geometría compleja y torcida de viajes de ida y vuelta

Investigador en Montpass, una empresa de seguridad de sitios web Escaneo JetpackDijo que encontró una vulnerabilidad durante una auditoría de seguridad del complemento y proporcionó detalles a los desarrolladores de UpdraftPlus el martes. Un día después, los desarrolladores publicaron una solución y acordaron instalarla por la fuerza en los sitios de WordPress donde se instaló el complemento.

Estadísticas proporcionadas por WordPress.org Show Hasta el jueves, 1,7 millones de sitios habían recibido la actualización y otros 287.000 la tenían instalada al cierre de esta edición. WordPress afirma que el complemento tiene más de 3 millones de usuarios.

Revelando vulnerabilidad el jueves, UpdraftPlus Escribió:

Este error permite que cualquier usuario que haya iniciado sesión con una instalación de WordPress con Updraft Plus Active ejerza el poder de descargar una copia de seguridad existente, que debe estar restringida solo a usuarios administrativos. Esto es posible gracias a la pérdida de una verificación de permisos en el código relacionado con la verificación del estado actual de la copia de seguridad. Esto le permitió obtener un identificador interno desconocido y puede usarse para pasar una verificación de permiso para descargar.

Esto significa que si su sitio de WordPress permite que los usuarios no confiables tengan un inicio de sesión de WordPress y ya tiene copias de seguridad, es posible que pueda dañar a un usuario técnicamente capacitado sobre cómo descargar una copia de seguridad existente. Si su sitio contiene algo que no es público, existe el riesgo de pérdida o robo de datos en los sitios afectados por parte del atacante que accede a una copia de respaldo de su sitio. Digo «técnicamente competente» porque en ese momento no había pruebas públicas de cómo usar este exploit. En este punto, depende del pirata informático para aplicar ingeniería inversa a los cambios en la última versión de UpdraftPlus para que funcionen. Sin embargo, definitivamente no debe confiar en él, ya que lleva más tiempo, pero debe actualizarse de inmediato. Si usted es el único usuario en su sitio de WordPress, o todos sus usuarios confían, es poco probable que se vea perjudicado, pero le recomendamos que actualice en cualquier caso.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Scroll al inicio