WordPress repara rápidamente la segunda vulnerabilidad crítica

WordPress parcheó una segunda vulnerabilidad crítica en su plataforma de publicación web el lunes, menos de una semana después de solucionar un problema similar.

Se recomienda a los administradores que actualicen a WordPress versión 4.2.1. Algunos sitios de WordPress que son compatibles y usan un complemento llamado Background Update Tester se actualizarán automáticamente.

WordPress es una de las plataformas de publicación web más utilizadas. Según la propia estimación de la compañía, administra el 23 por ciento de los sitios en Internet, incluidas las principales editoriales como Time y CNN.

La última falla fue encontrada por Jouko Pynnönen [cq] de Klikki Oy, una compañía de software finlandesa. Pynnönen descubrió que WordPress era vulnerable a una falla de secuencias de comandos entre sitios si un atacante insertaba JavaScript malicioso en un campo de comentarios. El script se ejecuta cuando alguien ve el comentario, de acuerdo con un aviso.

Las fallas de secuencias de comandos entre sitios se encuentran entre las vulnerabilidades web más peligrosas y comunes, lo que permite que se ejecute un código falso que debería estar prohibido.

Si un administrador de WordPress inicia sesión cuando se ve el comentario malicioso, el atacante puede ejecutar código arbitrario en el servidor a través del plugin y los editores de temas. También es posible cambiar la contraseña del administrador, crear nuevas cuentas de administrador o manipular contenido en un sitio. La vulnerabilidad no puede causar daño por parte de un lector común que ve el comentario.

Klikki Oy alegó que WordPress había dejado de comunicarse con él en noviembre pasado cuando Klikki encontró una vulnerabilidad diferente en WordPress. Con la última falla, Klikki dijo que también había tratado de notificar a WordPress a través de la autoridad de seguridad informática finlandesa, CERT-FI y HackerOne, que ofrece un servicio para administrar informes y recompensas de vulnerabilidad.

El 21 de abril, WordPress parcheó una vulnerabilidad similar a la que encontró Pynnönen. Cedric Van Bockhaven [cq] descubrió que WordPress era vulnerable a un ataque de secuencias de comandos entre sitios que involucraba comentarios debido al comportamiento de la base de datos MySQL que permitía.

Descubrió que el código falso se podía ejecutar cuando una persona se cernía sobre un script malicioso insertado en un campo de comentarios. El código de prueba de concepto escrito por Van Bockhaven mostró cómo se podría agregar un nuevo usuario en el panel de administración. La falla también podría usarse para descargar un complemento que ejecuta código malicioso del lado del servidor, escribió en su blog.

Únase a las comunidades de Network World en Facebook y LinkedIn para comentar temas que son lo más importante.