Una vulnerabilidad en esta herramienta está siendo explotada para comprometer sitios web.
Esta conocida herramienta de gestión de contenidos, recientemente, fue comprometida por una vulnerabilidad categorizada como CVE-2023-30777, que afectó a más de 2 millones de usuarios/as a nivel mundial.
Si bien ya fue corregido, este ataque de secuencias de comandos en sitios cruzados (XSS) permitió escalar privilegios de usuarios no autorizados, para inyectar secuencias de comandos maliciosas, redireccionamientos, anuncios y otras formas de manipulación de URL en sus sitios web objeto, comprometiendo información confidencial de sus usuarios/as y otros activos de la información.
Por eso, si utilizas este sistema, en este post, te brindamos nuestras recomendaciones a tener en cuenta, fundamentalmente, la de mantener correctamente actualizados a la última versión disponible, tanto el WordPress como sus themes y plugins.
Las versiones afectadas son las anteriores a 5.12.6 (retroalimentada) y 6.1.6., tratándose de una falla cross-site scripting (XSS).
Esta vulnerabilidad permite a usuarios no autorizados escalar privilegios, para así robar información confidencial y otros activos.
Aunque esta falla ya ha sido detectada y corregida, en caso de usar WordPress, se recomienda:
- Actualizar a la última versión disponible, tanto el WordPress como sus themes y plugins.
- Elegir un proveedor de hosting confiable y seguro.
- Realizar copias de seguridad periódicas y mantenerlas actualizadas.
- Eliminar manualmente cualquier theme y/o plugin en desuso.
- Durante la instalación, cambiar el prefijo de la base de datos por uno personalizado.
- Configurar un certificado SSL (Secure Sockets Layer)
- Instalar un firewall de aplicaciones web (WAF)
Para proteger el panel de administración:
- Modificar el nombre del usuario predeterminado (“admin”) por uno personalizado.
- Añadir plugins de seguridad para limitar intentos de inicio de sesión, bloquear IPs maliciosas, detectar cambios en archivos, etc.
Mantener actualizadas nuestras tecnologías contempla a todas las partes involucradas, como, en este caso, a este sistema de gestión de contenidos.
𝗦𝗜 𝗧𝗘𝗡𝗘𝗦 𝗔𝗟𝗚𝗨𝗡𝗔 𝗗𝗨𝗗𝗔 𝗢 𝗖𝗢𝗡𝗦𝗨𝗟𝗧𝗔:
Escribinos a 📩 ciberseguridad@ba-csirt.gob.ar o por privado 💬 en nuestras redes
