WordPress plugin Website page Builder de SiteOrigin parcheado contra ataques de ejecución de código


El complemento Word Builder de SiteOrigin WordPress estaba sujeto a vulnerabilidades que exponían a los sitios web a ataques de ejecución de código.

Desarrollado por Greg Priday, Creador de páginas por SiteOrigin es un complemento de creación de páginas de arrastrar y soltar que se utiliza para crear contenido listo para dispositivos móviles. El application se instala activamente en más de un millón de sitios internet.

El equipo de Wordfence Risk Intelligence descubrió los errores el 4 de mayo. Ambas vulnerabilidades en el complemento «permitir a los atacantes falsificar solicitudes en nombre de un administrador del sitio y ejecutar código malicioso en el navegador del administrador», según los investigadores, aunque un administrador necesitaba hacer clic en un enlace o archivo adjunto malicioso para activar la cadena de ataque.

Ver también: El mejor software package de cifrado para empresas en 2020: BitLocker, FileVault, Guardium y más

Los problemas aún no se han asignado números CVE. Sin embargo, ambos se consideran críticos.

La primera vulnerabilidad, una falsificación de solicitud de sitios cruzados (CSRF) a la vulnerabilidad de scripts de sitios cruzados (XSS), se encontró en la función de editor en vivo del complemento.

El editor en vivo se utiliza para crear y actualizar el contenido de la publicación, así como para arrastrar y soltar widgets. Los cambios realizados en el contenido se envían a través de un parámetro Write-up y se realizan verificaciones en las funciones de metadatos para asegurarse de que los usuarios tengan permiso para editar publicaciones. Sin embargo, no había protecciones nonce en su lugar.

Como resultado, algunos widgets que incluyen «HTML personalizado» podrían usarse para inyectar JavaScript malicioso en una página activa renderizada. Si un administrador accedió a una página de vista previa en vivo que contiene este widget comprometido, esto condujo a la falla CSRF / XSS reflejada.

Se encontró un problema adicional de falsificación de solicitudes entre sitios en la función motion_builder_material del complemento, conectado a la acción AJAX wp_ajax_so_panels_builder_content.

La función se utiliza para transmitir contenido enviado desde el editor en vivo al editor estándar de WordPress para actualizar o publicar publicaciones. Si bien las verificaciones de permisos se establecieron para garantizar que los usuarios tuvieran los permisos necesarios para put up_id, no hubo validación del origen de la solicitud, lo que condujo al problema de CSRF.

CNET: COVID-19 podría establecer una nueva norma para vigilancia y privacidad

Esta vulnerabilidad difiere ya que la falla XSS se activó en el widget «texto» a través de la entrada de JavaScript, que no se filtra si el contenido se edita en modo «texto» en lugar de «visual».

«Al igual que con el CSRF mencionado anteriormente para reflejar la vulnerabilidad XSS, esto podría usarse para redirigir al administrador de un sitio, crear una nueva cuenta de usuario administrativo o, como se vio en la reciente campaña de ataque dirigida a las vulnerabilidades XSS, usarse para inyectar una puerta trasera en un sitio «, señala el equipo.

Los defectos de seguridad fueron revelados al desarrollador el mismo día del descubrimiento, el 4 de mayo. Priday reconoció el informe y tuvo un parche listo y lanzado dentro de las 24 horas.

TechRepublic: Kaspersky: el 73% de los trabajadores no han recibido orientación sobre ciberseguridad

Wordfence agradeció al desarrollador «por una respuesta extremadamente rápida y por lanzar un parche muy rápido».

La última versión del complemento, v. 2.10.16, ha resuelto los problemas. Al momento de escribir, 66.6% de todos los usuarios han actualizado sus compilaciones. Se recomienda que los usuarios se aseguren de estar actualizados.

Cobertura previa y relacionada


¿Tienes una propina? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0




Enlace a la noticia authentic