Un defecto fundamental cross-site scripting se remienda en la última actualización de WordPress - 4.0.1. La vulnerabilidad compromete cuadros de comentarios en los sitios web que se aplican el software del sistema de gestión de contenidos. La explotación de la falla, el atacante tendría que inyectar código JavaScript malicioso en un comentario. De esta manera cuando un lector o un administrador ve el comentario, él estaría infectado de forma automática.
Según el investigador finlandés Jouko Pynnonen, este es el escenario más evidente para un ataque. La vulnerabilidad no es visible para el usuario normal. El JavaScript es ejecutado tan pronto como el administrador de la página web se abre la sección de comentarios. Esta acción otorga los privilegios de administrador guión, y se puede realizar numerosas operaciones.
Junto con otro colegio Klikki Oy, el investigador ha desarrollado un exploit que es capaz de agregar cuentas, cambiar la contraseña y utilizando el plug-in editor para escribir código PHP malévola al servidor mediante la consola de administración. El exploit también puede borrar el guión insertado desde la base de datos.
En caso de que el criminal cibernético utiliza el editor plugin para escribir un nuevo código PHP en el servidor, otra petición AJAX se puede aplicar a ejecutar al instante, que concede el acceso a nivel de sistema operativo atacante en el servidor.
XSS Presente error en Versiones 3.0 y 3.9.2
Cross-site scripting todavía presenta un problema grave para la seguridad web. Un ataque XSS permite a los ciberdelincuentes tomar el control de una página web mediante la modificación de campos HTML y formularios web.
Un experto del Instituto SANS revela que el defecto está presente en el 3.0 y el 3.9.2 versiones. La vulnerabilidad no se que se encuentran en el 4.0.1 versión debido a la diferente expresión regular.
La actualización también parchea:
- otras tres vulnerabilidades de cross-site scripting
- a-lateral en falsificación de petición bug
- una colisión de hash altamente improbable que puede conducir a explicar compromiso
- un defecto de denegación de servicio relacionado con la comprobación de contraseña
El equipo de WordPress también ha anunciado que cancela los enlaces en un correo electrónico de restablecimiento de contraseña en caso de que el usuario se acuerda de la contraseña e inicia sesión y cambia su dirección de correo electrónico.
Al mismo tiempo, Investigadores Sucuri informaron otro cross-site scripting defecto en los WP-Statistics WordPress plug-in. De acuerdo con los expertos, el error afecta a los sitios web que utilizan la versión 8.3 o menor. El plug-in se abordó en la versión 8.3.1
Investigador Marc-Alexandre Montpas dijo:
→"Un atacante puede usar almacenado Cross Site Scripting (XSS) y de ataque XSS reflejado a la fuerza navegador de la víctima a realizar acciones administrativas en su nombre. Aprovechando esta vulnerabilidad, se podría crear una nueva cuenta de administrador[s], inserte el spam SEO en las entradas del blog legítimos y una serie de otras acciones en el panel de administración de WordPress ".
Detalles técnicos estarán disponibles en treinta días.
