Vulnerabilidad en WordPress

Escrito por Max Glaser
2/3/2006

Neo Security Team ha encontrado una vulnerabilidad en WordPress, en el modulo de los comentarios.

Si los comentarios no están moderados, es decir aquellos weblogs que habilitan los comentarios sin autorización del webmaster. En este caso, es posible introducir un script en JavaScript en los comentarios que permitirían obtener el control sobre el weblog.

Esta vulnerabilidad fue encontrada en la versión 2.01 de Worpress, pero también en versiones anteriores.

Según este informe la solución al problema, mientras que no exista un parche oficial, es la siguiente: En el archivo wp-comments-post.php se debe remplazar la función trim() (4 veces) con htmlentities(trim()). Así se consigue filtrar el código maligno.

También se ha encontrado que muchos archivo PHP pueden ser ejecutados sin ninguna seguridad, lo que también representa un gran riesgo para el weblog.

Via heise online

Información y Enlaces

Integrese haciendo comentarios, revisando lo que otros tienen que decir o agregando enlaces desde su propio blog a nuestros Artículos

Información: Marzo 2nd, 2006; 4 Respuestas

"Feeds" y Enlaces: Comment Feed; De este Autor; Del.icio.us; Digg; Technorati

Categories and Tags: Programas & Herramientas

Otros Artículos: Ahora ya es Oficial: 180 días para el programa de referencias de AdSense; Nuevos datos sobre el mercado de los buscadores en Estados Unidos

Comentarios de los Lectores

Comentario Numero:: 1
Escrito por:: Administrator
Agregado el:: 2/3/2006 at 08:50

<code>Este es un comentario probrando el patch</code>.

Comentario Numero:: 2
Escrito por:: ManWare
Agregado el:: 2/3/2006 at 09:38

Jajaja! que rapido que sos MAX, casi te hackeo el Blog ;).

Hablando en serio, recomiendo que, de usarse una herramienta de publicacion publica y conocida, no se informe cual ni que version.

El hack se produce en primera instancia conociendo el sistema a atacar.

Saludos.

Comentario Numero:: 3
Escrito por:: Administrator
Agregado el:: 2/3/2006 at 10:16

ManWare,

Tienes mucha razón! Pero yo creo que es mejor informar sobre la medicina al momento de diagnosticar la enfermedad y no esperar que el paciente caiga enfermo.

Comentario Numero:: 4
Escrito por:: ManWare
Agregado el:: 2/3/2006 at 11:28

Yo hablaba de NO poner en los blogs lo siguiente:

Por ej:

::: Este Blog se realiza con WordPress 2.0.1 :::

Para evitar los exploits. Saludos.

Blog de Max Glaser