All-In-One Security (AIOS), un complemento de WordPress instalado en m\u00e1s de un mill\u00f3n de sitios, emiti\u00f3 una actualizaci\u00f3n de seguridad despu\u00e9s de que un error introducido en la versi\u00f3n 5.1.9 del software causara que las contrase\u00f1as de los usuarios se agregaran a la base de datos en formato de texto sin formato.<\/p>\n
“Un administrador del sitio malicioso (es decir, un usuario que ya inici\u00f3 sesi\u00f3n en el sitio como administrador) podr\u00eda haberlos le\u00eddo”, UpdraftPlus, los mantenedores de AIOS, dicho<\/a>.<\/p>\n “Esto ser\u00eda un problema si esos administradores del sitio probaran esas contrase\u00f1as en otros servicios donde sus usuarios podr\u00edan haber usado la misma contrase\u00f1a. Si los inicios de sesi\u00f3n de esos otros servicios no est\u00e1n protegidos por autenticaci\u00f3n de dos factores, esto podr\u00eda ser un riesgo para el sitio web afectado”.<\/p>\n El problema surgi\u00f3 hace casi tres semanas cuando un usuario del complemento reportado<\/a> el comportamiento, afirmando que estaban “absolutamente sorprendidos de que un complemento de seguridad est\u00e9 cometiendo un error de seguridad 101 tan b\u00e1sico”.<\/p>\n AIOS tambi\u00e9n se\u00f1al\u00f3 que las actualizaciones eliminan los datos registrados existentes de la base de datos, pero enfatiz\u00f3 que la explotaci\u00f3n exitosa requiere que un actor de amenazas ya haya comprometido un sitio de WordPress por otros medios y tenga privilegios administrativos, o haya obtenido acceso no autorizado a copias de seguridad del sitio sin cifrar.<\/p>\n “Como tal, la oportunidad de que alguien obtenga privilegios que a\u00fan no ten\u00eda, es peque\u00f1a”, dijo la compa\u00f1\u00eda. “La versi\u00f3n parcheada evita que se registren las contrase\u00f1as y borra todas las contrase\u00f1as guardadas anteriormente”.<\/p>\n Como precauci\u00f3n, se recomienda que los usuarios habiliten la autenticaci\u00f3n de dos factores en WordPress y cambien las contrase\u00f1as, especialmente si se han usado las mismas combinaciones de credenciales en otros sitios.<\/p>\n La divulgaci\u00f3n se produce cuando Wordfence revel\u00f3 una falla cr\u00edtica que afecta a WPEverest registro de usuario<\/a> complemento (CVE-2023-3342, puntaje CVSS: 9.9) que tiene m\u00e1s de 60,000 instalaciones activas. La vulnerabilidad se solucion\u00f3 en la versi\u00f3n 3.0.2.1.<\/p>\n “Esta vulnerabilidad hace posible que un atacante autenticado con permisos m\u00ednimos, como un suscriptor, cargue archivos arbitrarios, incluidos archivos PHP, y logre la ejecuci\u00f3n remota de c\u00f3digo en el servidor de un sitio vulnerable”, dijo el investigador de Wordfence Istv\u00e1n M\u00e1rton. dicho<\/a>.<\/p>\n <\/p>\n