La versión de seguridad 7.0.3 de WordPress corrige la vulnerabilidad XSS de alta gravedad

WordPress anunció una versión de seguridad 7.0.3 para corregir doce vulnerabilidades, tres de las cuales parecen ser bastante graves y una vulnerabilidad con una calificación alta de 8,9/10.

Doce vulnerabilidades de WordPress en el núcleo

En el pasado, era relativamente raro que se descubrieran vulnerabilidades en WordPress, pero recientemente ha habido un grupo inusual de descubrimientos de vulnerabilidades, con la ayuda de la IA.

Hay doce vulnerabilidades y el anuncio oficial de WordPress solo proporciona la descripción mínima de cuáles son e información de gravedad cero, lo que dificulta que los usuarios promedio de WordPress comprendan la urgencia y la importancia de los parches.

Estas son las doce vulnerabilidades:

1. Un problema de secuencias de comandos entre sitios (XSS) almacenado en Contributor+ en el bloque Fecha de publicación
2. Un problema de secuencias de comandos entre sitios (XSS) almacenado en Contributor+ en el bloque Publicar contenido
3. Un problema de divulgación de información en el bloque de Últimos Comentarios que expone comentarios en publicaciones protegidas con contraseña
4. Un bypass del flujo de confirmación de la dirección de correo electrónico
5. Un problema de inyección de CSS de Author+ al omitir el filtro de atributos CSS seguro
6. Un problema de secuencias de comandos entre sitios (XSS) almacenado en Contributor+ en publicaciones a través del elemento de configuración de emoji
7. Un problema de escalada de privilegios en redes multisitio con el registro de usuario habilitado, lo que permite al usuario crear un nuevo sitio
8. Un problema de falsificación de solicitudes del lado del servidor (SSRF) en la validación de URL que permite solicitudes para vincular rangos locales
9. Un problema de autenticación previa reflejado en secuencias de comandos entre sitios (XSS) en la pantalla de inicio de sesión con potencial para conducir a la ejecución de código PHP
10. Una divulgación de notas en las fuentes de comentarios.
11. Una enumeración de post-slugs.
12. Un problema de secuencias de comandos entre sitios (XSS) almacenado en Contributor+ en Edición rápida en sitios con una gran cantidad de usuarios

De ellos, tres son probablemente los de mayor preocupación:

1. XSS de autenticación previa en la pantalla de inicio de sesión con posible ejecución de código PHP
   Se confirma que esto está clasificado como una vulnerabilidad de alta gravedad.
2. SSRF que permite solicitudes para vincular rangos locales
   Esto es potencialmente grave, pero no hay información al respecto en este momento para saberlo con certeza. SSRF significa falsificación de solicitudes del lado del servidor. En este contexto, los rangos de IP locales de enlace son direcciones IP reservadas para la comunicación interna dentro del servidor. Si juntamos todo eso, la descripción mínima de esta vulnerabilidad implica que la vulnerabilidad permite que las solicitudes del lado del servidor vinculen rangos de IP locales que pueden exponer información confidencial en el servidor. Pero no existe una descripción de esta vulnerabilidad, por lo que sólo podemos inferirla a partir de la información proporcionada.
3. Un problema de escalada de privilegios en redes multisitio con el registro de usuario habilitado, lo que permite al usuario crear un nuevo sitio.
   Esta vulnerabilidad permite la capacidad no autorizada de crear otro sitio en la red. Esto podría ser un problema para sitios institucionales como universidades, pero también para aquellos con instalaciones multisitio.

Vulnerabilidad XSS de alta gravedad

Es muy probable que la vulnerabilidad más preocupante de la lista sea la descrita como XSS previa a la autenticación. XSS significa secuencias de comandos entre sitios.

El Proyecto Abierto Mundial de Seguridad de Aplicaciones (OWASP) describe XSS de esta manera:

“Los ataques Cross-Site Scripting (XSS) son un tipo de inyección, en el que se inyectan scripts maliciosos en sitios web que de otro modo serían benignos y confiables. Los ataques XSS ocurren cuando un atacante usa una aplicación web para enviar código malicioso, generalmente en forma de script del lado del navegador, a un usuario final diferente. Las fallas que permiten que estos ataques tengan éxito están bastante extendidas y ocurren en cualquier lugar donde una aplicación web utiliza información de un usuario dentro de la salida que genera sin validarla ni codificarla.

Un atacante puede utilizar XSS para enviar un script malicioso a un usuario desprevenido. El navegador del usuario final no tiene forma de saber que no se debe confiar en el script y lo ejecutará. Debido a que cree que el script proviene de una fuente confiable, el script malicioso puede acceder a cualquier cookie, token de sesión u otra información confidencial retenida por el navegador y utilizada con ese sitio”.

XSS de autenticación previa en la pantalla de inicio de sesión con posible ejecución de código PHP

Tiene una puntuación de 8,9/10. Esa vulnerabilidad está etiquetada como “Pre-autenticación”, lo que significa que un atacante no necesita una cuenta de WordPress para lanzar un ataque, pero eso se mitiga hasta cierto punto porque la explotación aún requiere la interacción del usuario; es necesario engañar a alguien con una cuenta en el sitio para que realice una acción (también conocida como ingeniería social).

El repositorio de seguridad oficial de WordPress GitHub explica que esta vulnerabilidad puede provocar la ejecución remota de código (RCE):

“WordPress es vulnerable a una vulnerabilidad XSS reflejada en la autenticación previa en la pantalla de inicio de sesión.

A través de un sitio web malicioso de terceros especialmente diseñado y alojado por un atacante, es posible que esto se convierta en una vulnerabilidad RCE con condiciones fuera del control del atacante. Esto requiere una ingeniería social exitosa y una interacción explícita por parte de la víctima objetivo.

Este problema afecta a todas las versiones de WordPress. Se lanzó la versión 7.0.3, que contiene una solución para la vulnerabilidad y, como cortesía para los usuarios de ramas más antiguas, la solución se ha compatible con todas las ramas hasta la versión 4.7”.

Oliver Sild de Patchstack tuiteó en X sobre la vulnerabilidad XSS:

“Hace unas semanas, cuando #WP2Shell cayó y OpenAI Sol Ultra se llevó la mayor parte del crédito, lo único que pensé fue en cómo todos los demás laboratorios y empresas de pruebas de inteligencia artificial se apresurarán a demostrar que también pueden encontrar algo en el núcleo de WordPress.

Bueno, hoy, 3 semanas después, tenemos la próxima versión principal de WordPress con no una, sino 12 vulnerabilidades parcheadas. Y como era de esperar, @AnthropicAI, @pwn_ai, @AikidoSecurity y otros informaron los problemas.

El más desagradable es una pantalla de inicio de sesión XSS, que a través de alguna ingeniería social podría conducir a la ejecución remota de código. Afortunadamente, WordPress se actualiza automáticamente rápidamente y ninguna de las vulnerabilidades se puede explotar masivamente como lo era WP2Shell.

Como siempre, los clientes de @patchstackapp recibieron reglas de mitigación justo en el momento de la divulgación”.

Oliver Sild también le dijo a Search Engine Journal que están rastreando si los piratas informáticos están explotando la vulnerabilidad XSS:

“Estamos rastreando si está siendo explotado, pero parece que la parte de ingeniería social en el XSS que podría conducir a RCE probablemente no recibirá mucha atención por parte de los piratas informáticos”.

Imagen destacada de Shutterstock/Jihan Nafiaa Zahri