La explotación del complemento de caché de WordPress afecta a +1 millón de sitios web

Los investigadores de seguridad de Jetpack descubrieron que el popular complemento de WordPress WP Fastest Cache tiene múltiples vulnerabilidades que podrían permitir a un atacante asumir todos los privilegios de administrador. Los exploits afectan a más de un millón de instalaciones de WordPress.

Descripción de las vulnerabilidades del complemento de caché más rápido de WP

WP Fastest Cache es un complemento de WordPress utilizado por más de un millón de sitios web de WordPress. El complemento crea una versión HTML estática del sitio web.

Hay varias vulnerabilidades que se descubrieron:

• Inyección de SQL autenticado
• XSS almacenado a través de la falsificación de solicitudes entre sitios

Inyección de SQL autenticado

La inyección de SQL autenticado permite a los usuarios registrados acceder a la información de nivel de administrador a través de la base de datos.

Una vulnerabilidad de inyección de SQL es un ataque dirigido a la base de datos, que es donde se almacenan los elementos del sitio web, incluidas las contraseñas.

Un ataque de inyección de SQL exitoso podría conducir a la adquisición completa del sitio web.

El boletín de seguridad de Jetpack describió la gravedad de la vulnerabilidad:

“Si se explota, el error de inyección SQL podría otorgar a los atacantes acceso a información privilegiada de la base de datos del sitio afectado (por ejemplo, nombres de usuario y contraseñas hash).

Solo se puede aprovechar si el complemento del editor clásico también está instalado y activado en el sitio “.

XSS almacenado a través de la falsificación de solicitudes entre sitios

Las vulnerabilidades XSS (Cross-site Scripting) es una vulnerabilidad algo común que resulta de una falla en la forma en que se validan las entradas al sitio web. Cualquier lugar en el que un usuario pueda ingresar algo en un sitio web, como un formulario de contacto, puede ser vulnerable a un ataque XSS si la entrada no se desinfecta.

Sanitized significa restringir lo que se puede cargar a una entrada esperada limitada, como texto y no scripts o comandos. Una entrada defectuosa permite a un atacante inyectar scripts maliciosos que luego pueden usarse para atacar a los usuarios que visitan el sitio, como el administrador, y hacer cosas como descargar archivos maliciosos en su navegador o interceptar sus credenciales.

La falsificación de solicitud entre sitios es cuando un atacante engaña a un usuario, como un administrador que ha iniciado sesión, para que visite el sitio y ejecute varias acciones.

Estas vulnerabilidades dependen de la instalación del complemento del editor clásico y de que el atacante tenga algún tipo de autenticación de usuario, lo que dificulta su explotación.

Pero estas vulnerabilidades siguen siendo graves y Jetpack recomienda a los usuarios que actualicen su complemento a al menos la versión 0.95 de WP Fastest Cache.

La versión 0.95 de WP Fastest Cache se lanzó el 14 de octubre de 2021.

Según Jetpack:

“Si se explota, el error de inyección SQL podría otorgar a los atacantes acceso a información privilegiada de la base de datos del sitio afectado (por ejemplo, nombres de usuario y contraseñas hash).

Explotar con éxito la vulnerabilidad CSRF y XSS almacenado podría permitir que los malos actores realicen cualquier acción que el administrador que inició sesión tenga permitido hacer en el sitio de destino “.

Advertencia de investigación de seguridad de Jetpack

Los investigadores de seguridad de Jetpack recomiendan que todos los usuarios del complemento de WordPress WP Fastest Cache actualicen su complemento de inmediato.

Los investigadores de seguridad de Jetpack publicaron:

“Le recomendamos que compruebe qué versión del complemento WP Fastest Cache está utilizando su sitio y, si es inferior a 0.9.5, ¡actualícela lo antes posible!”

Citación

Lea el anuncio de seguridad de Jetpack sobre el complemento de caché más rápido de WP

Varias vulnerabilidades en el complemento de caché más rápido de WP