Tener WordPress sin actualizar es como dejar la puerta de tu casa abierta mientras te vas de vacaciones. Te expones a todo tipo de riesgos, desde robos de información hasta el secuestro completo de tu sitio web.

Recientemente, WordPress lanzó una actualización crítica para tapar varios agujeros de seguridad. Estos «agujeros» son puertas traseras que permiten a los hackers hacer prácticamente lo que quieran en tu página. Pueden robar datos, instalar software malicioso, montarte webs que vendan otros productos, poner enlaces hacia sus sitios web y así posicionarlos etc.

Si usas el plugin Royal Elementor Addons, te expones aún más. Este plugin tenía un fallo grave que permitía a cualquier persona subir archivos dañinos a tu servidor lo que ha generado una oleada de hackings esta última semana.

¿Qué podemos hacer?: Actualizar WordPress y tus plugins no es algo opcional, es una necesidad.
No hacerlo es exponerte a riesgos que podrían tener consecuencias graves y costosas para tu sitio web.

Hace unos días el equipo de WordPress lanzó una nueva actualización de seguridad sobre la versión 6.3, la versión 6.3.2, que aborda algunas vulnerabilidades y además refuerza la seguridad, en esta lista podéis consultar algunas de las vulnerabilidades corregidas más importantes:

  • Ejecución arbitraria de shortcodes: En las versiones anteriores a 6.3.2, WordPress era vulnerable a la ejecución arbitraria de shortcodes debido a la falta de validación de entrada en el parámetro ‘shortcode’ en la función AJAX ‘parse_media_shortcode’. Esto permitía que atacantes autenticados con privilegios de suscriptor o superiores ejecutaran códigos cortos arbitrarios.
  • Reflejo de Cross-Site Scripting (XSS) a través de contraseñas de aplicación: Las versiones entre 5.6 y 6.3.1 eran vulnerables al XSS reflejado al solicitar contraseñas de aplicación debido a una sanitización insuficiente. Esto permitía a atacantes no autenticados inyectar scripts web maliciosos.
  • Exposición de información sensible a través de comentarios: Las versiones anteriores a 6.3.2 permitían que usuarios autenticados con privilegios de contribuidor o superiores accedieran a comentarios en publicaciones protegidas. La actualización aborda esta vulnerabilidad y protege la privacidad de los comentarios.
  • Denegación de servicio por envenenamiento de caché: WordPress era vulnerable a la denegación de servicio por envenenamiento de caché en versiones entre 4.7.0 y 6.3.1. Esto ocurría cuando se enviaba la cabecera X-HTTP-Method-Override en una solicitud a un punto de acceso REST y se devolvía un error 4xx.
  • XSS almacenado en bloque de notas a través de enlaces de navegación: En versiones entre 6.3 y 6.3.1, WordPress era vulnerable al XSS almacenado a través del bloque de notas de pie de página debido a una sanitización insuficiente. Esto permitía a atacantes autenticados con privilegios de contribuidor o superiores inyectar scripts web maliciosos.

Actualizar WordPress a la nueva versión 6.3.2 no es una opción, es una necesidad.

También se encontraron vulnerabilidades críticas (de 9.8 sobre 10) en el plugin que añade funcionalidades a Elementor (Royal Elementor Addons 1.3.78).

Esto permite a los atacantes no autenticados cargar archivos PHP que contienen contenido malicioso, como una puerta trasera, lo que permite la ejecución de código remoto y lleva a una completa vulnerabilidad del sitio web. El complemento Royal Elementor Addons and Templates para WordPress es vulnerable a la carga de archivos arbitrarios en todas las versiones hasta, e incluyendo, la 1.3.78. Esto se debe a una validación insuficiente del tipo de archivo en la función handle_file_upload() llamada a través de AJAX, lo que permite a los atacantes suministrar una extensión de archivo preferida al parámetro ‘allowed_file_types‘, con un carácter especial, lo que permite que el archivo cargado evite su lista de filtro. Esto hace posible que los atacantes no autenticados carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede permitir la ejecución de código remoto.

La semana pasada lanzaron la nueva versión «1.3.79» que solucionaba algunas de las vulnerabilidades pero no las más importantes, ayer lanzaron la nueva versión 1.3.80 que en teoría soluciona estas vulnerabilidades.

Y si no entiendes porque se hackean los sitios web y quieres saber para que se hackean te invitamos a ver este vídeo que grabamos hace 10 años: