Vulnerabilidad de WordPress

 [0-Day] WordPress Permite que Controlen Sitios con Falsos Comentarios

Un investigador de seguridad finlandesa ha descubierto una vulnerabilidad de día cero crítico en el motor central del sistema de gestión de contenidos de WordPress.

El CMS WordPress que es utilizada por millones de sitios web, es vulnerable a una falla de día cero que podría permitir a los hackers la ejecución de código remoto en el servidor Web con el fin de tomar el control total de la misma.

La vulnerabilidad, encontrada por Jouko Pynnönen de la empresa de seguridad con sede en Finlandia Klikki Oy, es un Cross-Site Scripting (XSS) que ataca el sistema de comentarios de WordPress.
La vulnerabilidad afecta a las versiones de WordPress 3.9.3, 4.1.1, 4.1.2, y la última versión de WordPress 4.2.

La explotación de la vulnerabilidad 0-Day:

La vulnerabilidad permite a un hacker inyectar código JavaScript malicioso en la sección de comentarios que aparece en la parte inferior de millones de blogs de WordPress.

Esto podría permitir a los hackers cambiar contraseñas, añadir nuevos administradores, o tomar otras acciones que sólo pueden ser realizadas por el administrador legítimo de la página web. Esto es lo que llamamos un ataque de cross-site scripting.

Cómo explotar el 0-Day?

El exploit de día cero, ocurre mediante la publicación de un simple código JavaScript en forma de comentario y luego añade hasta por 66.000 caracteres o más de 64 KB de tamaño.

Cuando el comentario es procesado por una persona con derechos de administrador de WordPress a la página web, el código malicioso se ejecuta sin dar ninguna indicación al administrador.

Por defecto, WordPress no publica automáticamente el comentario de un usuario a menos que el usuario haya sido aprobado por el administrador del sitio.

Los hackers pueden eludir esta limitación engañando al administrador con su primer comentario benigno, que una vez aprobado permitiría que los comentarios maliciosos sean también aprobados de forma automática y así publicarse.

WordPress parcha el defecto 0-Day:

Con el fin de solucionar el problema de seguridad, los administradores deben actualizar su CMS Wordpress 4.2.1. "Esta es una versión de seguridad crítica para todas las versiones anteriores y alentamos firmemente que actualice sus sitios de inmediato", dijo el equipo de WordPress sobre esta última versión.

Según informes, WordPress versión 4.2.1 soluciona la vulnerabilidad de día cero reportado por Pynnonen.

Así que si usted es dueño de un sitio web de WordPress, asegúrese de que ejecuta una versión actualizada de la CMS con todos los plugins hasta a la fecha.

En la siguiente página encontrará la última versión de WordPress: https://wordpress.org/news/2015/04/wordpress-4-2-1/