El equipo de WordPress anunció esta semana el lanzamiento de la versión 6.0.2 del sistema de administración de contenido (CMS) con parches para tres errores de seguridad, incluida una vulnerabilidad de inyección SQL de alto nivel.
El problema se identificó en la función de enlaces de WordPress anteriormente conocida como «Marcadores» y solo afecta a las instalaciones más antiguas, ya que la función está deshabilitada de forma predeterminada en las nuevas instalaciones.
Sin embargo, la funcionalidad aún podría habilitarse en millones de sitios antiguos de WordPress, incluso si ejecutan versiones más nuevas del CMS, cube el equipo de Wordfence de la empresa de seguridad de WordPress Defiant.
Con un puntaje CVSS de 8.0, la vulnerabilidad requiere privilegios administrativos y no es fácil de explotar en las configuraciones predeterminadas, pero podría haber complementos o temas que permitan a los usuarios con privilegios más bajos (por ejemplo, nivel de editor e inferior) activarla. , cube Wordfence.
«Las versiones vulnerables de WordPress no pudieron limpiar con éxito el argumento de límite de la consulta de obtener enlaces en la función get_bookmarks, que se usa para garantizar que solo se devuelva una cierta cantidad de enlaces», explica Wordfence.
En la configuración predeterminada, solo el widget heredado de enlaces llama a la función de una manera que permite al usuario establecer el argumento de límite. Sin embargo, debido a las precauciones de seguridad en los widgets heredados, la explotación de la vulnerabilidad no es trivial.
Las dos vulnerabilidades restantes que se solucionarán en WordPress 6.0.2 son errores de secuencias de comandos entre sitios (XSS) de gravedad media causados por el uso de la función «the_meta» y por errores de desactivación y eliminación de complementos.
La explotación exitosa de estas vulnerabilidades puede conducir a la ejecución de secuencias de comandos inyectadas en claves y valores de metadatos de publicación, o código JavaScript contenido en los mensajes que se muestran cuando los complementos se desactivan o eliminan debido a un error.
Se recomienda a los administradores del sitio que actualicen a WordPress 6.0.2 lo antes posible (la actualización se entregará automáticamente a los sitios que admitan actualizaciones en segundo plano). Los parches se han actualizado a WordPress 3.7 y versiones más recientes, señala el equipo de WordPress.
Relacionado: complementos maliciosos encontrados en 25,000 sitios de WordPress: estudio
Ver también: Vulnerabilidad sin parches en el complemento WPBakery WordPress cada vez más bajo ataque
Relacionado: Vulnerabilidad explotada en el complemento de WordPress parcheado con más de 1 millón de instalaciones
Ionut Arhire es corresponsal internacional de SecurityWeek. Columnas anteriores de Ionut Arhire:
etiquetas:
