Noticias y Nuevos Productos

Más de un millón de sites de WordPress en peligro

Más de un millón de sites de WordPress en peligro

Acaba de detectarse una falla en un popular plug-in de WordPress que se utiliza para optimizar los resultados de las páginas web en los motores de búsqueda. Al parecer, el error podría permitir ataques hacker si no se aplica rápidamente un parche que se acaba de presentar.

El plug-in SEO de WordPress desarrollado por la firma holandesa de optimización de sitios web, Yoast, contiene una vulnerabilidad que permite a los atacantes manipular la base de datos de un sitio web y agregar cuentas de administrador falsas.

Según explica Lucian Constantin en PCWorld.com, esta vulnerabilidad a ciegas por inyección inyección SQL fue descubierta por Ryan Dewhurst, experto en seguridad y co-desarrollador del escáner de vulnerabilidades WPScan, y afecta a las versión 1.7.3.3 y anteriores de WordPress SEO by Yoast.

En teoría, la explotación de la vulnerabilidad requiere autenticación. Sin embargo, dado que no hay protección ante solicitudes falsas cross-site (CSRF), el atacante podría explotar la vulnerabilidad engañando a un usuario autenticado, administrador, editor o autor, para que pinche en un enlace especialmente diseñado para visitar una página infectada.

Un ataque CSRF implica forzar el navegador del usuario para ejecutar una acción no autorizada en un sitio web de terceros, cuando ese usuario visita una página web controlada por un atacante. Los sitios web deben implementar mecanismos especiales de protección para prevenir este tipo de ataques.

Ya se han liberado gratuitamente nuevas versiones del producto afectado (la versión 1.7.4 del plug-in gratuito), y la versión 1.5.3. de la variante comercial del producto, que también está afectada.

Deja un comentario

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>