Millones de sitios de WordPress obtienen actualizaciones forzadas para corregir posibles complementos

Millones de sitios de WordPress han recibido una actualización forzada en el último día para corregir una potencial vulnerabilidad en una aplicación llamada UpdraftPlus.

El parche obligatorio se produjo a pedido de los desarrolladores de UpdraftPlus debido a una vulnerabilidad que permite a los suscriptores, clientes y otros que no son de confianza descargar la base de datos personal del sitio siempre que tengan una cuenta en el sitio vulnerable. Las bases de datos a menudo contienen información confidencial sobre la configuración de seguridad del sitio o del cliente, lo que expone a millones de sitios a violaciones de datos graves que incluyen contraseñas, nombres de usuario, direcciones IP y más.

Malos resultados, fácil de operar

UpdraftPlus simplifica el proceso de copia de seguridad de bases de datos de sitios web. Es el complemento de copia de seguridad programada más utilizado para el sistema de gestión de contenido de WordPress. Facilita la copia de seguridad de datos en Dropbox, Google Drive, Amazon S3 y otros servicios en la nube. Sus desarrolladores dicen que también permite a los usuarios programar copias de seguridad periódicas, es más rápido y utiliza menos recursos del servidor que las aplicaciones de WordPress de la competencia.

«Este error es bastante fácil de explotar, con algunos resultados muy malos si se explota», dijo Mark Monpas, un investigador de seguridad que descubrió la vulnerabilidad y la informó de forma privada a los desarrolladores de complementos. «Permitía a los usuarios con pocos privilegios descargar copias de seguridad del sitio, que incluían copias de seguridad sin procesar de la base de datos. Las cuentas de bajo costo pueden significar mucho. Suscriptores habituales, clientes (por ejemplo, en sitios de comercio electrónico), etc.

Monpas, investigador de una empresa de seguridad de sitios web Escaneo de mochila propulsoraLa compañía dijo que encontró la vulnerabilidad durante una auditoría de seguridad de la aplicación y proporcionó detalles a los desarrolladores de UpdraftPlus el martes. Un día después, los desarrolladores publicaron una corrección y acordaron instalarla en los sitios de WordPress donde se instaló el complemento.

Estadísticas proporcionadas por WordPress.org mostrar: que 1,7 millones de sitios web recibieron la actualización el jueves, más de 287.000 la publicaron al cierre de esta edición. WordPress dice que la aplicación tiene más de 3 millones de usuarios.

UpdraftPlus detectó la vulnerabilidad el jueves escribió::

Esta falla permite que cualquier usuario que haya iniciado sesión en una instalación de WordPress donde UpdraftPlus esté habilitado disfrute del privilegio de descargar una copia existente, que debería estar restringida solo a usuarios administrativos. Esto fue posible porque los permisos faltantes verificaron el código en relación con la verificación del estado de la copia de seguridad actual. Esto le permitió obtener un identificador interno que de otro modo sería desconocido: podría usarse para la verificación con un permiso de descarga.

Esto significa que si su sitio de WordPress permite que usuarios no confiables accedan a WordPress, si tiene una copia existente, es potencialmente vulnerable a que un usuario técnicamente capacitado intente descargar una copia existente. Los sitios afectados están sujetos a pérdida/robo de datos a través de un atacante que accede a una copia de su sitio si este contiene algo que no es público. Digo «técnicamente hábil» porque por el momento no hay evidencia pública de cómo se puede usar esta explotación. En este momento, depende de los piratas informáticos para procesar los cambios en la última versión de UpdraftPlus para procesarlo. Sin embargo, no debe confiar en esta extensión, sino actualizarla de inmediato. Si usted es el único usuario en su sitio de WordPress, o si todos sus usuarios confían en usted, no es vulnerable, pero aun así le recomendamos que actualice.