Un agujero de seguridad recientemente descubierto podría permitir la alteración de contenidos en los blogs que usan Wordpress, permitiendo incluir en los mismos códigos maliciosos.
WordPress es un manejador de contenidos que es utilizado ampliamente para crear y actualizar blogs. Ha sido desarrollado en lenguaje PHP y MySQL. Gran parte de su popularidad se debe a su facilidad de uso y a los complementos (plugins) diseñados por terceros.
La vulnerabilidad ha sido reportada en el complemento WordPress Spreadsheet Plugin (wpSS), que permite manejar hojas de cálculo en el contenido y realizar búsquedas de datos mediante consultas SQL.
SQL (System Query Language) es un lenguaje de programación estructurado que está orientado a consultas de una base de datos. El mismo permite realizar consultas en forma rápida y fácil.
El fallo ocurre porque el sistema al realizar una búsqueda, no valida correctamente la entrada de datos, permitiendo la inclusión de comandos maliciosos en la misma (ataque de "inyección SQL").
Un atacante que se aproveche del mencionado fallo podría llegar a alterar el contenido, insertar, borrar o capturar datos del mismo.
Es vulnerable la versión 0.61 y probablemente también las anteriores. Se recomienda actualizar el complemento de hoja de cálculo a su nueva versión 0.62 que se encuentra actualizada para con un parche de seguridad que soluciona la vulnerabilidad reportada.
El crédito del descubrimiento de este fallo pertenece a "1ten0.0net1".
Pero además, los usuarios de Wordpress deben actualizarse a la nueva versión 2.5.1 que soluciona 70 fallos. Entre ellos hay una actualización de seguridad con carácter muy importante, especialmente si el blog permite la registración abierta.
Aclaramos que el complemento mencionado en este artículo no se encuentra incluido en el paquete de instalación de Wordpress, por lo que debe ser actualizado de forma independiente.
Temas relacionados
Blog del autor - Actualización de hoja de cálculo
http://timrohrer.com/blog/?page_id=71
WordPress 2.5.1
http://wordpress.org/development/2008/04/wordpress-251/
Fuente:
http://www.enciclopediavirus.com/noticias/verNoticia.php?id=992
http://blogs.eset-la.com/laboratorio/2008/04/16/blogs-wordpress-peligro/
No hay comentarios:
Publicar un comentario