Saltar al contenido

La vulnerabilidad de WordPress de WP Bakery afecta a millones de sitios web

octubre 8, 2020

Los investigadores han descubierto una vulnerabilidad de WordPress en el creador de páginas de WP Bakery que permite a un atacante inyectar JavaScript malicioso en páginas y publicaciones. La vulnerabilidad permite a un atacante inyectar código en páginas y publicaciones que atacan los navegadores de los visitantes del sitio.

Vulnerabilidad con script entre sitios almacenados autenticados (XSS)

Las vulnerabilidades de secuencias de comandos entre sitios se caracterizan por un atacante que obtiene la capacidad de apuntar a los navegadores de los visitantes mediante el uso de secuencias de comandos maliciosas colocadas ilegalmente en un sitio web.

Los ataques XSS se encuentran entre los tipos de vulnerabilidades más frecuentes.

Este ataque específico se denomina Vulnerabilidad de sitio web almacenado autenticado. Una vulnerabilidad XSS almacenada es aquella en la que un atacante coloca un script en el sitio web.

Pero esta es una vulnerabilidad XSS almacenada y autenticada, lo que significa que un atacante debe tener credenciales de sitio web para realizar el ataque.

Esto lo convierte en un riesgo menos crítico, ya que requiere que un atacante dé el paso adicional de adquirir credenciales.

Relacionado: ¿Cómo afecta la seguridad del sitio web a su SEO?

Vulnerabilidad XSS almacenada autenticada de WP Bakery

Esta vulnerabilidad específica de WP Bakery requiere que un atacante obtenga credenciales de publicación a nivel de autor o colaborador en un sitio web.

Una vez que un atacante tiene las credenciales, puede inyectar scripts en cualquier publicación o página. También le da al atacante la capacidad de cambiar las publicaciones creadas por otros usuarios.

Esta vulnerabilidad se componía de varios defectos.

Las fallas permitieron la inyección de HTML y JavaScript en las publicaciones o páginas de un usuario acreditado y también en las de otros autores. También hubo otra falla específica que apuntaba a los botones que tenían la funcionalidad de JavaScript adjunta.

Según WordFence:

“El complemento también tenía una funcionalidad onclick personalizada para botones. Esto permitió a un atacante inyectar JavaScript malicioso en un botón que se ejecutaría con un clic en el botón. Además, los usuarios a nivel de contribuidor y autor pudieron usar vc_raw_js, vc_raw_html y el botón usando códigos cortos custom_onclick para agregar JavaScript malicioso a las publicaciones. “

WP Bakery Page Builder 6.4 y versiones anteriores se ven afectados

La vulnerabilidad se descubrió a fines de julio de 2020. WP Bakery lanzó un parche a fines de agosto, pero aún persisten otros problemas, incluido un segundo parche lanzado a principios de septiembre.

El parche final que cerró la vulnerabilidad se lanzó el 24 de septiembre de 2020.

Los desarrolladores de software de complementos publican un registro de cambios. El contenido del registro de cambios es lo que aparece en el área del complemento de administración de WordPress que comunica de qué se trata una actualización.

Desafortunadamente, el registro de cambios de WP Bakery no refleja la urgencia de la actualización porque no dice explícitamente que está solucionando una vulnerabilidad. El registro de cambios se refiere a los parches de vulnerabilidad como mejoras.

Captura de pantalla del registro de cambios de WP Bakery Page Builder

Captura de pantalla del registro de cambios de WP Bakery Page Builder

El complemento WP Bakery Page Builder a menudo se incluye en los temas. Los editores deben verificar sus complementos y asegurarse de que tengan la versión más reciente y segura, que es 6.4.1.

Citas

La vulnerabilidad expone a más de 4 millones de sitios que utilizan WPBakery

Cambio de registro para WP Bakery Page Builder
https://kb.wpbakery.com/docs/preface/release-notes/