Parece ser que está confirmada una grave vulnerabilidad XSS (Cross Site Scripting) en el plugin JetPack, por la que tu sitio puede quedar expuesto a inyecciones de código.
Según se ha avisado en los foros de soporte, de lo que me ha avisado José Conti, el plugin JetPack está utilizando una versión vulnerable de CSSTidy, el módulo que permite la personalización de CSS, que utiliza para esta funcionalidad el archivo ‘tusitio.com/wp-content/plugins/jetpack/modules/custom-css/csstidy/css_optimiser.php‘, que estaría accesible directamente, y permitiendo inyectar código malicioso en tu sitio.
Si tienes dudas, y tienes JetPack instalado, simplemente sustituye en la URL de arriba «tusitio.com» por tu dominio para comprobarlo, y pegarte el susto del día al ver algo así …
Huelga decir que es absolutamente urgente poner remedio urgente a esta vulnerabilidad mientras no actualicen JetPack a una versión segura. Y lo peor del asunto es que no te valdrá añadir un fichero en blanco a la carpeta, ni siquiera añadir la directiva para evitar listados en .htaccess, y ni pienses que tener desactivado el módulo o incluso todo JetPack sirve para algo.
Lo único seguro es una de estas dos opciones:
- Renombrar el archivo
css_optimiser.phpa lo que quieras, y rezar para que ningún hacker adivine el nuevo nombre. - Borrar el archivo
css_optimiser.php, mucho más seguro, ni lo dudes.
Pues eso, que ya estás tardando. Y si querías una última excusa para desinstalar y borrar JetPack no la vas a encontrar mejor, al menos mientras no se solucione esta grave vulnerabilidad.
¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!
AVISO: Esta publicación es de hace 3 años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.
Se están cubriendo de gloria los de Automattic hoy.
Creo que se puede eliminar sin problemas, de hecho, ellos lo han hecho http://plugins.trac.wordpress.org/changeset?reponame=&new=647326%40jetpack&old=647242%40jetpack
¡Archivo eliminado! Gracias por el aviso.
Cada día reafirmo mis ganas de abandonar WordPress.
Somos 2…
Pero si el problema radica en la plataforma a elegir, blogger tampoco es que sea mejor, habeis visto alguna otra??
Personalmente me referia a que el archivo estaba eliminado… De todas formas, y respondiendo a tu pregunta, hoy no creo que exista una alternativa que le plante cara a WordPress… He visto algunos desarrollos, pero necesitan tiempo para poder madurar como corresponde… Saludos!
Gracias por la respuesta 😉
El verdadero problema está en otros sistemas en los que no hay una comunidad detrás que avisa de estas cosas, que existen y existirán, y estás expuesto, eso si, mucho más tranquilo en la ignorancia.
WordPress no es el problema, esto es un fallo de un script PHP que sirve para casi cualquier sistema (mirad el enlace al respecto).
Cierto Fernando, WordPress no es el problema, pero JetPack depende de los chicos de Automattic, y de ellos depende lo que incluyan en sus plugins. Si fuera cualquier otro plugin, es «tranquilizante» saber que se trata de un problema de terceros, pero éste no es el caso.
Muchas gracias por el aviso 😉
gracias por avisar!!!
Si, es lo que recomiendo después de haberlo probado. El resto funciona perfectamente.
Gracias otra vez José, no se te escapa una.
Pues sí. Vaya día que llevan hoy 🙂 Ya está borrado el archivo y muchas gracias por avisar Fernando
Una pregunta de usuario basico: ¿Donde esta el archivo css_optimiser.php? Navegando en WordPress por las opcines Apariencia/editar no veo ese archivo.
¿Necesito un FTP para navergar en las carpetas del servidor y ver ese archivo, o puedo desde el mismo escritorio de Wordpres…?
Tienes que hacerlo por ftp, o desde el administrador de archivos de tu panel del hosting.
A las malas edita el archivo desde «Plugins -> Editor» y borras todo su contenido.
Gracias por la información, ya lo he borrado, espero no tener problemas. Hay que estar atento a estos temas por la cuenta que nos trae. Un saludo.
Gracias! borrado.
Una pregunta Fernando. Estás en desacuerdo con la utilización del plugin JetPack?
Disculpa la pregunta. Es que tus últimas líneas en ese artículo me lo han hecho pensar.
Saludos cordiales.
Me gusta mucho JetPack, y sus módulos, lo que no me gusta son algunas «decisiones» que hace Automattic con este plugin, como activar módulos por defecto, o retirar el plugin ahora convertido en módulo, o que tengas que tener cuenta en wordpress.com para usarlo.
Pingback: Vulnerabilidad XSS en JetPack ¡Urgente!
Desde hace semanas alguien entra en mi blog y cambia los datos de login, también se elimina el plugin Akismet ¿ Puede ser debido a este error ?
Es que no se que hacer y los de RedCoruna aseguran que no es culpa de ellos 🙁
No lo creo, haz una limpia completa:
– Cambia claves ftp y base de datos
– Elimina usuarios desconocidos
– Cambia clave de admin o crea uno nuevo
– Reinstala WP, plugins (borra todos los actuales) y revisa los archivos del tema antes de fiarte de el, ante la duda lo borras y pones versión limpia
Luego pon contramedidas: limita accesos de login (hay varios plugins), instala el WordFence y el WP file monitor para enterarte de accesos no deseados.
Muchas gracias por el aviso. He borrado el archivo.
Me recomiendan borrar JetPack?
Nigga
Aparentemente la versión 2.1.1 de hace 2 días ya lo ha solucionado.¿Será cierto?.