WordPress 6.0.3 comenzó a implementarse esta semana. La última versión de seguridad corrige 16 vulnerabilidades. Cuatro de ellas son vulnerabilidades críticas.
WordPress 6.0.3 corrige nueve vulnerabilidades de secuencias de comandos entre sitios (XSS) almacenadas y reflejadas, así como fallas de redirección abierta, exposición de datos, falsificación de solicitudes entre sitios (CSRF) y inyección SQL.
La empresa de seguridad de WordPress Defiant ha compartido una descripción de cada vulnerabilidad. Cuatro de ellos tienen una calificación de «gravedad alta» y el resto tiene una gravedad «media» o «baja».
“Hemos determinado que es poco probable que estas vulnerabilidades se vean como explotaciones masivas, pero varias de ellas podrían ofrecer una forma para que los atacantes expertos exploten sitios de alto valor mediante ataques dirigidos”, advirtió la compañía.
Una de las vulnerabilidades de alta gravedad es un problema de XSS almacenado que puede ser explotado por un usuario que puede enviar publicaciones a un sitio web por correo electrónico para inyectar código JavaScript malicioso en las publicaciones. El código se ejecutaría cuando se acceda a la publicación maliciosa.
Otra falla de alta gravedad es un XSS reflejado que puede ser explotado para la ejecución de código arbitrario por parte de un atacante no autenticado a través de una consulta de búsqueda especialmente diseñada en la biblioteca de medios. La explotación requiere la interacción del usuario y la creación de una carga útil no es fácil, pero Defiant cree que esta podría ser la vulnerabilidad más explotable en esta versión debido a que el atacante no necesita autenticación.
El tercer problema de alta gravedad es una inyección SQL que podría ser explotada por un complemento o tema de terceros: el núcleo de WordPress en sí no se ve afectado.
El último problema grave es un error CSRF que un atacante no autenticado puede aprovechar para activar un trackback en nombre de un usuario legítimo, pero se requiere ingeniería social para una explotación exitosa.
Los sitios web de WordPress que admitan actualizaciones automáticas en segundo plano se parchearán automáticamente. El próximo lanzamiento principal es la versión 6.1, prevista para el 1 de noviembre.
Según el Informe de investigación de amenazas de sitios web de Sucuri para 2021, los sitios web de WordPress representaron más del 95 % de las infecciones de CMS, y aproximadamente un tercio de los sitios en los que la firma de ciberseguridad detectó un skimmer de tarjetas de crédito estaban ejecutando WordPress.
