La seguridad de al menos 800.000 sitios web que utilizan WordPress está en peligro. El popular complemento All in One SEO, que es empleado por más de 3 millones de sitios web para mejorar el posicionamiento en motores de búsqueda, presenta dos vulnerabilidades críticas. Las mismas han sido abordas en una actualización lanzada el pasado 7 de diciembre, pero los webmasters están tardando en aplicar este parche.
El investigador de seguridad de Automattic, Marc Montpas descubrió los fallos de seguridad a principios de diciembre durante una auditoría interna al complemento All in One SEO. Una de las vulnerabilidades (CVE-2021-25036) podría permitir que un usuario con el rol de suscriptor adquiera privilegios elevados, mientras que la otra (CVE-2021-25037) abriría la puerta a las bases de datos con información privada.
Con el objetivo de distribuir las capacidades y permisos para cada tipo de usuario, los sitios de WordPress tienen diferentes roles. Se trata de administrador, editor, autor, colaborador o suscriptor. Este último tiene únicamente la capacidad de leer entradas y dejar comentarios en la mismas, pero aprovechándose de la vulnerabilidad CVE-2021-25036 podría llegar a actuar como administrador del sitio y así controlarlo por completo.
En líneas generales, y sin entrar en detalles técnicos que pueden ser consultados en este artículo de Jetpack, el atacante podría utilizar el complemento vulnerable para omitir las comprobaciones de privilegios requeridas por la API REST. Tan solo tendría que cambiar un carácter a mayúsculas en una petición. De esta forma podría, por ejemplo, ejecutar código malicioso en el servidor.
La otra vulnerabilidad (CVE-2021-25037), que depende de la anterior, podría permitir que el usuario que elevó sus privilegios efectúe una inyección de código SQL comprometiendo la seguridad de las bases de datos. Este ataque abriría las puertas para modificar los datos de las mismas o extraer información confidencial, incluidas las credenciales de los usuarios.
Le recomendamos que compruebe qué versión del complemento SEO All In One está utilizando su sitio y, si está dentro del rango afectado, ¡actualícelo lo antes posible!