Plantillas de inicio: el complemento Elementor, Gutenberg & Beaver Builder Templates de los editores del tema Astra WordPress contiene una vulnerabilidad que afecta a más de un millón de sitios web. El exploit permite a un atacante cargar scripts maliciosos, organizar una toma de control total del sitio y atacar a los visitantes del sitio web vulnerable.
Plantillas de inicio: plantillas Elementor, Gutenberg y Beaver Builder
El complemento Starter Templates es publicado por Brainstorm Force, los creadores del popular tema Astra WordPress. El complemento permite a los usuarios utilizar más de 280 plantillas de WordPress que ayudan a acelerar el desarrollo de sitios web.
Las plantillas están diseñadas para ser compatibles con Elementor, Gutenberg, Brizy y Beaver Builder, así como con el tema Astra.
Anuncio publicitario
Continuar leyendo a continuación
El complemento está instalado en más de un millón de sitios web.
Vulnerabilidad de secuencias de comandos de sitios cruzados almacenados (XSS)
Los investigadores de seguridad de Wordfence descubrieron que el complemento Starter Templates de Brainstorm Force contiene un tipo de vulnerabilidad que permite a un atacante cargar un script malicioso que a su vez se almacena en el sitio web.
Una vulnerabilidad de XSS almacenada es particularmente problemática porque la secuencia de comandos cargada se almacena en el servidor del sitio atacado.
El proyecto sin fines de lucro Open Web Application Security Project (OWASP) describe la seriedad de este tipo de vulnerabilidad XSS en su sitio web:
“Los ataques almacenados son aquellos en los que el script inyectado se almacena permanentemente en los servidores de destino, como en una base de datos, en un foro de mensajes, registro de visitantes, campo de comentarios, etc.
Luego, la víctima recupera el script malicioso del servidor cuando solicita la información almacenada «.
Anuncio publicitario
Continuar leyendo a continuación
Aprobación del sitio web y ataques a los visitantes del sitio
La vulnerabilidad podría conducir a una toma de control total del sitio, así como a utilizar el sitio web vulnerable para lanzar ataques contra todos los visitantes del sitio.
Según el informe de Wordfence:
“Un atacante podría crear y alojar un bloque que contenga JavaScript malicioso en un servidor que controle y luego usarlo para sobrescribir cualquier publicación o página …
Cualquier publicación o página que se haya creado con Elementor, incluidas las páginas publicadas, podría ser sobrescrita por el bloque importado, y el JavaScript malicioso en el bloque importado se ejecutaría en el navegador de cualquier visitante de esa página.
Esto podría usarse para redirigir a los visitantes del sitio a sitios web maliciosos, o secuestrar la sesión de un administrador para crear un nuevo administrador malicioso o agregar una puerta trasera al sitio, lo que lleva a la toma de control del sitio «.
Complemento de plantillas de inicio fijo
Los editores del complemento Starter Templates fueron notificados por Wordfence sobre la vulnerabilidad y rápidamente parchearon el complemento en la versión 2.7.1.
El público registro de cambios para el complemento Starter Templates registra con precisión el parche:
v2.7.1 – 7 de octubre de 2021
– Mejora de la seguridad: valide la URL del sitio antes de procesar la solicitud de importación.
– Mejora de seguridad: permiso de carga de archivo derecho actualizado antes de importar imágenes.
Un registro de cambios honesto como el publicado por Brainstorm Force es una señal de un editor de calidad y es genial verlos abiertos sobre el cierre de problemas de seguridad.
Wordfence aconseja a los editores que actualicen su complemento
Wordfence recomienda que todos los editores que utilicen este complemento se actualicen a la última versión del complemento, la 2.7.5, porque esta última versión también contiene importantes correcciones de errores.
Anuncio publicitario
Continuar leyendo a continuación
Citación
Lea el informe de Wordfence sobre la vulnerabilidad de la plantilla de inicio
Más de 1 millón de sitios afectados por la vulnerabilidad en el complemento de plantillas de inicio
Consultar el artículo en la publicación original