Saltar al contenido
computerg

ūü•á Varias Violaciones De Seguridad Ponen En Riesgo A 3,5 Millones De Sitios Web De WordPress

abril 14, 2021

El equipo de Wordfence Threat Intelligence ha descubierto vulnerabilidades en m√°s de 15 complementos para el complemento de WordPress y el popular creador de sitios web Elementor.

Estos 15 complementos para Elementor se instalan colectivamente en m√°s de 3,5 millones de sitios de WordPress y, en total, Wordfence ha encontrado m√°s de 100 puntos finales vulnerables.

Estas vulnerabilidades de secuencias de comandos de sitios cruzados (XSS) almacenadas son similares en ejecución a la vulnerabilidad grave en Elementor, que recientemente fue parcheada por la empresa. Cuando se aprovechan, permiten que cualquier usuario capaz acceda al creador de sitios web, incluidos los colaboradores, para agregar JavaScript a los artículos.

Luego, este JavaScript se ejecutaría cuando otros usuarios del sitio vean, editen o previsualicen un mensaje y podría usarse para tomar el control de un sitio si la víctima es un administrador.

Complementos vulnerables

Como fue el caso con la vulnerabilidad del complemento principal de Elementor, cada uno de estos complementos agrega elementos que permiten a los usuarios seleccionar una etiqueta HTML de un men√ļ desplegable para agregar formato a un t√≠tulo u otro texto. Sin embargo, dado que las opciones de etiqueta no se aplican en el sitio del servidor, un atacante podr√≠a agregar un nuevo elemento de t√≠tulo y cambiar una etiqueta de encabezado ¬ęH5¬Ľ por una etiqueta de ¬ęscript¬Ľ. En muchos casos, es posible agregar JavaScript directamente usando una de estas etiquetas, pero un atacante podr√≠a agregar c√≥digo malicioso a un sitio vulnerable de WordPress.

En una nueva publicación de blog, Wordfence enumeró todos los complementos vulnerables que ahora se han solucionado. Sin embargo, no todos los desarrolladores y editores con los que la empresa se puso en contacto respondieron a sus solicitudes de contacto iniciales. Sin embargo, en estos casos, Wordfence se ha puesto en contacto directamente con el repositorio de WordPress para que se revisen los complementos vulnerables.

Los sitios que usan Elementor con varios usuarios que pueden contribuir con contenido y que ejecutan una versión sin parche de cualquiera de estos complementos deben considerarse en riesgo. Por esta razón, Wordfence recomienda a los propietarios de sitios que actualicen lo antes posible.

Si su sitio est√° ejecutando un complemento de Elementor que agrega funcionalidad al creador de sitios web a trav√©s de nuevos elementos o widgets que no est√°n enumerados en la publicaci√≥n del blog de Wordfence, la compa√Ī√≠a recomienda que se comunique directamente con el autor o desarrollador para verificar que hayan auditado. su -on complemento para estos problemas.


Source link