Ayer se supo que todas las actuales versiones de WordPress son vulnerables a un fallo por el que un atacante podría inyectar código JavaScript en los comentarios.
Según informan en Klikki, cualquier visitante malintencionado podría cambiar claves de administración, inyectar código en temas y plugins con un solo comentario en tu Web.
La vulnerabilidad afecta a todas las versiones actuales de WordPress: 4.2, 4.1.3, 4.1.1 y 3.9.3 y se ha probado con las versiones 5.1.53 y 5.5.41 de MySQL.
¿Cómo funciona?
Si un comentario es demasiado largo se recorta al insertarse en la base de datos. El límite de tamaño para texto en MySQL es de 64 kb, así que el comentario tiene que ser bastante largo.
Al recortarse el texto se crea un HTML erróneo en la página. El atacante, aprovechando este error, puede ofrecer atributos a las etiquetas HTML permitidas.
Un comentario de ejemplo que probaría este error podría ser algo así:
<a title='x onmouseover=alert(unescape(/hello%20world/.source)) style=position:absolute;left:0;top:0;width:5000px;height:5000px AAAAAAAAAAAA...[64 kb]..AAA'></a>
En este vídeo lo tienes ves más claro:
Como puedes imaginar, a no mucho tardar tendremos una actualización de seguridad de WordPress que solucione este problemón.
¿Soluciones?
De momento ve desactivando los comentarios hasta que no haya una actualización de WordPress 4.2 y resto de versiones que solucione el problema. Incluso podría ser una buena oportunidad para animarte a probar Disqus o similares.
Nota: en cuestión de horas ya hay una actualización que soluciona el problema.
¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!
AVISO: Esta publicación es de hace 3 años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado. ¡Ah! ¿te funciona? pues entonces no he dicho nada :)
Una solución sencilla y rápida: limitar la longitud de los comentarios -> https://gist.github.com/hberberoglu/d136b4c152011079ea8d
Yo tengo ya mucho que utilizo disqus para evitar problemas con el spam de comentarios… me gustaria saber si esto afecta a los post en los foros, aunque solo miembros pueden publicar en el mio, ¿pero como guest? Saludos
¿Si tienes Disqus como sistema de comentarios no pasa nada, no?
Si lo comentarios están moderados por un administrador, también se está expuesto o con solamente no publicar ese comentario sería suficiente ?
Según dicen en wptavern, el plugin Akismet protege de esta vulnerabilidad:
“Your best option is to install Akismet (which has already been configured to block this attack), or disable comments,”
http://wptavern.com/zero-day-xss-vulnerability-in-wordpress-4-2-currently-being-patched
Hola! una duda… ¿y si tengo una web con todos los campos de comentarios deshabilitados ? ¿es igualmente vulnerable?