Un complemento antispam de WordPress con mucho más de 60 000 instalaciones corrigió una puerta de inseguridad de inyección de elementos PHP ocasionada por una desinfección de entrada errónea, lo que dejó más tarde la entrada del usuario codificada en Base64.
Inyectar elementos PHP no autenticados
Se descubrió una puerta de inseguridad en el habitual Stop Spammers Security | Bloquee individuos de contenido publicitario, comentarios, formularios de complementos de WordPress.
El propósito del complemento es denegar el contenido publicitario en comentarios, formularios y registros. Puede denegar los robots de contenido publicitario y tiene la aptitud de que los clientes ingresen direcciones IP para bloquearlos.
Es una práctica obligatoria para cualquier complemento o formulario de WordPress que admita la entrada del usuario para aceptar solo entradas concretas como artículo, imágenes, direcciones de correo, cualquier entrada aguardada.
Las entradas inopinadas tienen que filtrarse. Este desarrollo se llama filtrado y sostiene fuera las entradas no deseadas. limpieza.
Por servirnos de un ejemplo, un formulario de contacto debe tener una función que inspeccione lo que se manda y bloquee (desinfecte) cualquier cosa que no sea artículo.
La puerta de inseguridad descubierta en el complemento antispam dejaba la entrada codificada (codificada en base 64) que entonces puede desatar un género de puerta de inseguridad llamada puerta de inseguridad de inyección de elementos PHP.
Descripción de la puerta de inseguridad anunciado en el sitio de WPScan detalla el inconveniente como:
«El complemento pasa la entrada del usuario codificada en base64 a la función PHP unserialize () en el momento en que se emplean CAPTCHA como segundo desafío, lo que podría ser en la inyección de elementos PHP si un complemento instalado en el blog tiene una cadena de dispositivos correcta. . «
La clasificación de puerta de inseguridad es Deserialización insegura.
El Emprendimiento de Seguridad de Apps Web Abiertas (OWASP, por sus iniciales en inglés) sin ánimo de lucrar detalla el encontronazo potencial de este género de inseguridades como Grave, que puede o no ser la situacion concreto de esta puerta de inseguridad.
Él Descripción a OWASP:
“El encontronazo de las fallas de deserialización no puede exagerarse. Estas fallas tienen la posibilidad de ofrecer sitio a asaltos de ejecución recóndita de código, entre los asaltos mucho más graves probables.
El encontronazo comercial es dependiente de la app y las pretensiones de protección de datos».
Pero OWASP asimismo apunta que explotar este género de puerta de inseguridad tiende a ser bien difícil:
«Explotar la deserialización es algo bien difícil por el hecho de que los exploits estándar pocas veces marchan sin ediciones o cambios en el código de explotación subyacente».
La puerta de inseguridad en el complemento de WordPress Stop Spammers Security fué corregida en la versión 2022.6
oficial Parar el registro de cambios de seguridad de los spammers (una descripción con datas de múltiples actualizaciones) apunta la solución como una optimización de seguridad.
Los individuos del complemento Stop Contenido publicitario Security tienen que estimar actualizar a la última versión para eludir que un pirata informático explote el complemento.
Lea el aviso oficial sobre la banco de información de puerta de inseguridad nacional del gobierno de EE. UU.:
Lea la publicación de WPScan que señala esta puerta de inseguridad:
Denegar la seguridad de los spammers < 2022.6 – Inyectar elementos PHP no autenticados
Imagen cortesía de Shutterstock/Luis Molinero
Fuente: searchenginejournal
Hashtags: #puerta de inseguridad #del #complemento #antispam #WordPress #perjudica #hasta #sitios
Comentarios recientes