WPForms Lite acusado de agregar puerta trasera. Lo probé y me sorprendió
Una publicación en X publicada por Sybre Waaijer (editor del complemento The SEO Framework) recientemente generó un debate sobre el complemento de WordPress WPForms Lite, alegando que instala una puerta trasera en los sitios web de los usuarios. Algunos usuarios de WordPress coinciden en que puede estar sucediendo algo inusual, mientras que otros no están convencidos.
El Instituto Nacional de Estándares y Tecnología (NIST) define una puerta trasera como:
“Una forma indocumentada de obtener acceso al sistema informático. Una puerta trasera es un riesgo potencial para la seguridad”.
La afirmación de que WPForms Lite inserta una puerta trasera
Sybre Waaijer publicó en X que una actualización reciente de WPForms Lite de Awesome Motive había insertado una puerta trasera en el complemento.
La afirmación es que WPForms Lite contiene un asistente de incorporación que guía al usuario a través de los pasos de configuración. Se supone que el asistente de configuración emite un token de una hora que proporciona a los creadores del complemento acceso administrativo al sitio web del usuario sin pedirle permiso primero ni hacerle saber que esto está sucediendo. Según Waaijer, este nivel de acceso permite a Awesome Motive hacer cosas como instalar y activar complementos.
Waaijer tuiteó:
“Syed Balkhi (Awesome Motive) puso una puerta trasera en WPForms Lite hace tres semanas en la versión 2.0.0. El complemento se ejecuta en más de 5 millones de sitios.
El archivo: wpforms-lite/src/SetupWizard/Bridge.php.
Qué hace:
Toma el control de su navegador y abre su aplicación en los servidores de WPForms. Le entrega a esa aplicación un token de inicio de sesión de una hora para su sitio. Luego, su aplicación puede actuar en su nombre en su sitio.Qué pueden hacer con él:
Su aplicación puede instalar y activar complementos. También puede activar un interruptor que comienza a enviar los envíos de sus formularios a los servidores de WPForms. El complemento nunca pregunta primero y nunca le advierte.Cuando se ejecuta:
Se activa automáticamente en una instalación nueva durante la configuración, solo para administradores. No recibirás un aviso. El token caduca al final de la configuración o después de una hora.Qué pueden instalar:
Trece complementos de WordPress punto org: WP Mail SMTP, WPConsent, Uncanny Automator, AIOSEO, Universally, Duplicator, Reviews Feed, OptinMonster, MonsterInsights, ActiveLayer. Curiosamente (probablemente un error), también Contact Form 7, Ninja Forms y Pirate Forms.También pueden extraer complementos de WPForms y WPForms Pro desde sus propios servidores. Estos servidores no están moderados y podrían usarse para enviar código malicioso, lo que debería esperarse, dado su historial”.
Rechazo de la comunidad de WordPress
Una persona respondió que Awesome Motive es un desarrollador de complementos confiable y que esto es algo que Waaijer debería discutir en privado con ellos.
@BuildInBits tuiteó:
“Awesome Motive tiene toneladas de complementos, y son complementos confiables. Durante una década, han sabido cómo hacer el trabajo muy bien y ya lo están haciendo. Su expresión es un poco injusta al hacerlo público de esta manera”.
Awesome Motive es un competidor de Waaijer
La respuesta de Waaijer a @BuildInBitsse señaló que Awesome Motive es un competidor, ya que ambos producen un complemento de SEO. Awesome Motive publica el complemento All In One SEO (AIOSEO) que compite directamente con The SEO Framework de Waaijer.
La respuesta de Waaijer:
“Construyeron deliberadamente un segundo canal de poder administrativo y vistieron el archivo .org como código abierto mientras la sesión real y las URL del paquete viven de su lado.
Durante más de una década, WPBeginner ha sido la cara amigable de esa máquina: tutoriales que de alguna manera siempre terminan en su propia pila. No es un blog. Un embudo.
Durante años, han estado instalando sus complementos y desactivando los de sus competidores, incluido el mío. No los respeto; se lo ganaron”.
¿Es realmente una puerta trasera?
Una puerta trasera es un código que otorga acceso eludiendo las verificaciones normales de autenticación y autorización de un sitio, generalmente sin el conocimiento del propietario del sitio, o como lo describe el NIST, es una “forma indocumentada de obtener acceso al sistema informático”.
El usuario de X @marckranat cuestionó la caracterización de puerta trasera de Waaijer de la funcionalidad de incorporación del complemento.
Ellos escribieron:
“”Backdoor” está haciendo mucho trabajo retórico aquí. No es en el sentido convencional. No hay una ruta de acceso iniciada por el proveedor, ni una omisión de autenticación, ni un oyente oculto. Requiere un administrador que haya iniciado sesión para activar el asistente”.
@marckranat tiene razón en que el proveedor, Awesome Motive, probablemente no pueda iniciar de forma independiente el acceso a un sitio web que instale el complemento. Eso no es lo que sucede cuando un usuario instala el complemento.
Instalé WPForms Lite. Esto es lo que pasó
Ya uso el complemento WPForms Lite en uno de mis sitios y decidí probarlo en otro. Lo instalé y se me presentó una pantalla del asistente de configuración. No recuerdo haber hecho clic en la pantalla. Quizás eso pasó pero no recuerdo que haya sucedido.
Captura de pantalla de la página Bienvenido a WPForms:
Ahora bien, esta es la cuestión: pensé que todavía estaba en mi sitio web. Pero ya estaba en otro sitio.
Captura de pantalla de la URL de la pantalla de bienvenida
Esta es la siguiente pantalla:
Captura de pantalla del asistente de configuración
De hecho, hice clic en Instalar y continuar, supongo que no estaba prestando atención porque pensé que esto era parte del proceso de instalación. Eso depende de mí, ¿verdad?
Captura de pantalla de la pantalla Seleccione sus funciones
La captura de pantalla muestra que las casillas “Generación de formularios AI” y “Cumplimiento de privacidad” están marcadas para la instalación y no se pueden cancelar. Se puede desactivar la casilla “Aceptar pagos”. En la parte inferior de la pantalla hay un aviso de que se instalará el complemento gratuito “WPConsent”, y tampoco hay forma de cancelarlo.
La última pantalla del asistente de configuración
Captura de pantalla que muestra tres complementos instalados
Como puede ver, se instalaron WP Mail SMTP, WPConsent y WPForms Lite. En la mayoría de estas pantallas no tenía idea de que ya no estaba en mi sitio. No recuerdo haber visto ninguna notificación de que iba a abandonar mi sitio. Desinstalé el complemento e intenté reproducir el mismo flujo de trabajo, pero no volvió a suceder.
Comidas para llevar
WPForms Lite hace Parece enviar nuevos usuarios fuera del sitio para su configuración de una manera que ni siquiera me di cuenta de que estaba en otro sitio. Una vez que estés en el asistente de configuración, te obligará a instalar dos complementos adicionales porque no puedes desmarcar las casillas.
Sybre Waaijer dice que el complemento arroja un token que caduca en una hora y que permite a WPForms Lite realizar cambios en el sitio, probablemente para importar datos de otros formularios de contacto y también para instalar esos otros complementos. Ese no es un propósito malicioso, es razonable y bastante común con los complementos. Pero me pareció extraño terminar en otro sitio web sin siquiera saberlo.
Aún así, ¿es normal que el asistente de configuración de un complemento lleve al usuario a otro sitio web? ¿Qué tienes que decir?
Imagen destacada de Shutterstock/Luis Molinero
