Especialistas en ciberseguridad recomiendan a los administradores de sitios web de comercio electrónico (e-commerce) generados en WordPress y que empleen el plugin WooCommerce mantenerse alertas ante la presencia de una vulnerabilidad que, de ser explotada, podría permitir a los hackers tomar control de los movimientos comerciales en un sitio web.
Plugin Vulnerabilities, una compañía dedicada a la seguridad de sitios en WordPress, fue la encargada de revelar la existencia de esta falla, publicando además detalles sobre una prueba de concepto para su explotación. Esta compañía ha tenido serias diferencias con los especialistas en soporte de WordPress, a quienes acusa de encubrir algunos problemas de ciberseguridad en la plataforma.
Los especialistas especificaron que la vulnerabilidad no reside precisamente en WordPress ni en el plugin WooCommerce. El reporte menciona que la vulnerabilidad reside en WooCommerce Checkout Manager, un complemento para WooCommerce que extiende su funcionalidad, permitiendo que los sitios web e-commerce le den un formato personalizado a los formularios de pagos. Se calcula que este plugin está siendo empleado por alrededor de 60 mil sitios web activos.
Sobre la vulnerabilidad
Se trata de una vulnerabilidad de carga de archivos arbitraria que puede ser explotada de forma remota si un sitio web tiene habilitada la función “Categorizar archivos subidos” en el plugin WooCommerce Checkout Manager.
Acorde a los especialistas en ciberseguridad, la vulnerabilidad reside en el archivo ‘includes/admin.php’, en el que se mueven los archivos dados a un directorio usando ‘move_uploaded_file’ sin realizar las verificaciones adecuadas previamente. De ser explotada, la vulnerabilidad permitiría a un actor de amenazas la ejecución de scripts del lado del servidor, lo que comprometería la aplicación para acceder a los datos almacenados o conseguir acceso a nivel del administrador.
Especialistas del Instituto Internacional de Seguridad Cibernética recomiendan a los administradores de sitios e-commerce que emplean este plugin deshabilitar la función “Categorizar archivos subidos”, al menos hasta que la compañía anuncie el lanzamiento del parche de actualización para corregir la vulnerabilidad.
A pesar de las constantes quejas del foro oficial de soporte de WordPress, Plugin Vulnerabilities continúa revelando fallas de seguridad en algunos desarrollos compatibles con esta plataforma, lo que ha provocado que WordPress incluya a esta firma en su lista negra.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
