Se ha instado a los usuarios de WordPress a verificar su protección de seguridad después de que se descubrió un error que podría haber permitido a los piratas informáticos borrar sitios completos.
El equipo de Wordfence Threat Intelligence encontró dos nuevas vulnerabilidades en un complemento de WordPress que representaban una amenaza para más de 80.000 sitios web.
Las fallas se encontraron en el complemento de WordPress de páginas anidadas e incluían una vulnerabilidad de falsificación de solicitudes entre sitios que permitía que las publicaciones y las páginas se eliminaran, no publicaran o asignaran a un autor diferente de forma masiva. También se encontró una vulnerabilidad de redirección abierta separada.
- Aquí hay una lista de los mejores creadores de sitios web del mercado.
- También eche un vistazo a estos mejores temas de WordPress
- Estos son los mejores complementos de SEO para WordPress
El equipo de Wordfence dijo que el autor del complemento lanzó una versión parcheada del complemento, la versión 3.1.16, unas horas después de que se les informara.
Fallo del complemento de WordPress
Debido a la naturaleza de las vulnerabilidades de la falsificación de solicitudes entre sitios, no hay forma de brindar protección para estas vulnerabilidades sin bloquear las solicitudes legítimas, por lo que el equipo de Wordfence recomendó a los propietarios de sitios web que actualicen a la última versión parcheada de Páginas anidadas para la protección del sitio web.
El complemento de páginas anidadas permite a los propietarios de sitios web administrar la estructura de la página mediante la funcionalidad de arrastrar y soltar, y realizar acciones en varias páginas al mismo tiempo, incluida la eliminación masiva de páginas y la modificación de los metadatos de la página, incluido el autor de la página y el estado de publicación.
Las vulnerabilidades no solo dejaron los sitios web expuestos a atacantes que podrían engañar a los administradores para que envíen una solicitud que podría reasignar páginas a un autor diferente, sino que también dejaron los sitios web vulnerables a redireccionamientos abiertos que podrían usarse para engañar a los visitantes para que ingresen credenciales en un sitio de phishing. apareciendo como un enlace a un sitio web de confianza.
«Con la mayoría de los ataques CSRF, la víctima aterriza en la página utilizada para realizar los cambios para los que fue engañada, lo que podría indicarle que algo salió mal, especialmente si los cambios son visibles en la página», escribió Wordfence Threat Intelligence. equipo.
«La capacidad de encadenar una redirección abierta al ataque CSRF hace que sea más fácil para un atacante explotar el ataque CSRF y redirigir a la víctima a otra página sin levantar sospechas de inmediato».
FUENTE: https://www.techradar.com/news/nasty-wordpress-plugin-bug-could-let-hackers-delete-your-website-content
Guao que falla por parte de esta plataforma.
Interesante esta falla al servidor en general.