La banco de información nacional de inseguridades del gobierno de EE. UU. emitió una alarma sobre una puerta de inseguridad de secuencias de comandos entre sitios guardados en el habitual complemento Popup Maker para WordPress.
Constructor de ventanas emergentes para WordPress
Se descubrió una puerta de inseguridad en el complemento de WordPress «Popup Maker – Popup for opt-in, lead gen and more», que está instalado en mucho más de 700 000 websites.
El complemento Popup Maker se integra con varios de los formularios de contacto mucho más populares con funcionalidades diseñadas para producir conversiones en las tiendas WooCommerce, subscripciones a folletines por e-mail y otras apps populares de generación de prospectos.
Más allá de que el complemento solo existe desde 2021, ha experimentado un desarrollo fenomenal y obtuvo mucho más de 4,000 comentarios de cinco estrellas.
Puerta de inseguridad del constructor de ventanas emergentes
La puerta de inseguridad que perjudica a este complemento se llama secuencias de comandos guardadas entre sitios (XSS). Tiene por nombre «archivado» pues se carga un script malicioso en el lugar y se guarda en nuestro servidor.
Las inseguridades XSS normalmente suceden en el momento en que una entrada no puede desinfectar lo que se carga. Cualquier sitio donde un usuario logre entrar datos puede volverse vulnerable, hay una falta de control sobre lo que se puede cargar.
Esta puerta de inseguridad concreta podría acontecer en el momento en que un agresor pudiese conseguir las credenciales de un usuario con por lo menos un nivel de ingreso contributivo que empieza el ataque.
Gobierno de los USA Banco de información de puerta de inseguridad nacional detalla la causa de la puerta de inseguridad y de qué manera puede suceder un ataque:
«El complemento WordPress Popup Maker previo a 1.16.9 no valida ni elude ninguno de sus atributos de código abreviado, lo que podría aceptar a los individuos con un papel de colaborador bajo efectuar asaltos de secuencias de comandos entre tiendas».
Un registro de cambios oficial anunciado por el creador del complemento señala que el exploit deja que alguien con ingreso de nivel de colaborador ejecute JavaScript.
Complemento para hacer ventanas emergentes el registro de cambios para la versión V1.16.9 notas:
«Seguridad: encuentre una solución la puerta de inseguridad XSS que deja a los ayudantes realizar JavaScript sin filtrar».
La compañía de seguridad WPScan (propiedad de Automattic) ha anunciado una prueba de término que exhibe de qué forma marcha el exploit.
“Como colaborador, introduzca el próximo código abreviado en una publicación/página
[pum_sub_form name_field_type=”fullname” label_name=”Name” label_email=”Email” label_submit=”Subscribe” placeholder_name=”Name” placeholder_email=”Email” form_layout=”block” form_alignment=”center” form_style=”default” privacy_consent_enabled=”yes” privacy_consent_label=”Notify me about related content and special offers.” privacy_consent_type=”radio” privacy_consent_radio_layout=”inline” privacy_consent_yes_label=”Yes” privacy_consent_no_label=”No” privacy_usage_text=”If you opt in above we use this information send related content, discounts and other special offers.” redirect_enabled redirect=”javascript:alert(/XSS/)”]
XSS se activará en la publicación/perspectiva de página/vista y envío de formulario»
Más allá de que no hay una descripción de qué grave podría ser el exploit, por norma general, las inseguridades XSS guardadas tienen la posibilidad de tener secuelas graves, incluyendo la toma completa del ubicación, la exposición de los datos del usuario y la instalación de troyanos.
Hubo actualizaciones siguientes desde la publicación del parche original para la versión 1.16.9, incluyendo una actualización mucho más reciente que soluciona un fallo introducido con el parche de seguridad.
La última versión del complemento Popup Maker es V1.17.1.
Los editores que hayan instalado el complemento tienen que estimar actualizar a la última versión.
mencionado
Lea el aviso de la banco de información nacional de inseguridades del gobierno de EE. UU.:
Lea el aviso de WPScan
Popup Maker < 1.16.9 – Contributor+ XSS guardado a través del formulario de inscripción
Imagen señalada de Shutterstock/Asier Romero
Fuente: searchenginejournal
Hashtags: #puerta de inseguridad #WordPress #Popup #Maker #perjudica #hasta #sitios
Comentarios recientes