Los investigadores de ciberseguridad han ayudado a corregir una falla de seguridad de alta gravedad en un popular complemento de WordPress , que podría explotarse para borrar y restablecer por completo cualquier sitio web vulnerable de Wordpress .
Descubierta por los expertos en seguridad de Wordpress Wordfence , la vulnerabilidad existe en los complementos Hashthemes Demo Importer que cuenta con más de 8,000 instalaciones activas y está diseñado para ayudar a los administradores a importar demostraciones para temas de WordPress con un solo clic.
Según el ingeniero de control de calidad y analista de amenazas de Wordfence, Ram Gall, la falla le da a cualquier atacante autenticado, incluso al usuario de nivel de suscriptor con permisos mínimos, la capacidad de restablecer los sitios de WordPress eliminando virtualmente todas sus bases de datos y medios cargados.
Controles inapropiados
Según Gall, la vulnerabilidad existe porque el complemento defectuoso del importador de demostración de Hashthemes no pudo realizar adecuadamente las comprobaciones de capacidad para muchas de sus acciones AJAX.“Si bien realizó una verificación de nonce, el nonce de AJAX estaba visible en el panel de administración para todos los usuarios, incluidos los usuarios con pocos privilegios, como los suscriptores. La consecuencia más grave de esto fue que un usuario de nivel de suscriptor podía restablecer todo el contenido de un sitio determinado ”, señaló Gall.
Él dice que si se explota, la falla haría que un sitio web que ejecuta el complemento vulnerable sea completamente irrecuperable, a menos que, por supuesto, sus propietarios lo hayan respaldado adecuadamente. Gall también señala que primero llevaron el problema al desarrollador del complemento, que no logró obtener ninguna respuesta. Luego lo plantearon con el equipo de complementos de WordPress, que eliminó temporalmente el complemento de su tienda. Sin embargo, aunque el desarrollador del complemento cargó una versión corregida unos días después, Gall señala que el registro de cambios de la nueva versión no mencionó el cambio.
[Fuente]: techradar.com
Pixabay.( 27 de Octubre de 2021).WordPress.[Fotografía]. Modificado por jolhfred Recuperado de techradar.com
