En esta página: [esconder]
A mediados de septiembre, investigadores de seguridad en Wordfence (Desafiante) descubrió dos vulnerabilidades graves en Post Grid. Post Grid es un complemento de WordPress con más de 60,000 instalaciones, desarrollado por PickPlugins.
Durante el análisis, el equipo descubrió vulnerabilidades casi idénticas en Team Showcase, otro complemento desarrollado por el mismo autor. Team Showcase ha terminado 6,000 instalaciones.
La buena noticia es que los desarrolladores de complementos lanzaron parches solo unas horas después de revelar las fallas..
Vulnerabilidades del complemento Post Grid y Team Showcase
El primer complemento permite a los usuarios mostrar sus publicaciones en un diseño de cuadrícula, mientras que Team Showcase muestra los miembros del equipo de una organización. Ambos complementos permitieron la importación de diseños personalizados, con funcionalidades casi idénticas. Aunque Post Grid no usó la función de importación vulnerable, todavía contenía el código defectuoso, haciéndolo vulnerable.
Un atacante que haya iniciado sesión podría explotar ambos complementos con permisos mínimos en secuencias de comandos almacenadas entre sitios. (XSS) ataques. El exploit podría realizarse enviando una solicitud AJAX específica.
Las versiones afectadas son Post Grid < 2.0.73 and Team Showcase < 1.22.16.
The other vulnerabilities affecting both plugins could trigger PHP Object injection. The same layout functions posed the risk of PHP Object injection via the same method used in the cross-site scripting attack.
This was possible thanks to the vulnerable functions, which unserialized the payload supplied in the source parameter. This flaw also required an attacker to have minimal privileges, such as a subscriber lever.
“sin embargo, los sitios que usan un complemento o tema que permitiera a los visitantes no autenticados ejecutar códigos cortos arbitrarios serían vulnerables a atacantes no autenticados,"Wordfence dice.
Cómo mantenerse protegido?
Si su sitio de WordPress utiliza alguno de estos complementos, debe actualizar a las últimas versiones inmediatamente. Actualmente, la última versión de Post Grid es 2.0.73, mientras que la versión más reciente de Team Showcase es 1.22.16.
Si necesita más detalles técnicos sobre las fallas, puedes referirte a los hallazgos originales.