Vulnerabilidades WordPress publicadas en Abril de 2017

Lista de Vulnerabilidades WordPress Abril 2017 detectadas y reportadas en diferentes fuentes o boletines públicos.

Esta lista no necesariamente obedece a un escenario 100% real, ya que muchas vulnerabilidades no son reportadas por los autores o researchers al tratarse de 0days, pues su divulgación podría afectar seriamente a muchas instalaciones, o por simple ofuscación u ocultamiento, supongo que por razones de reputación.

Esta lista podría ser mayor, lo que dejaría constancia de que abril de 2017 ha sido un mes muy activo en cuanto al descubrimiento de vulnerabilidades, probablemente el más activo del último año en lo referente a plugins afectados.

En total se han detectado y publicado 56 vulnerabilidades durante el mes de Abril que afectan a plugins, destacando como la vulnerabilidad más recurrente el cross-site scripting (XSS) en más de 40 plugins de la firma BestWebSoft, que es la mayor cantidad revelada para un único autor de plugins para WordPress.

Vulnerabilidades WordPress en Plugins durante Abril de 2017:

• Vulnerabilidad de Falsificación de petición en sitios cruzados (CSRF) Supresión de envío de formulario en Contact Form 7 Database
• Vulnerabilidad de Falsificación de petición en sitios cruzados (CSRF) Eliminación arbitraria de archivos en Triagis® Security Evaluation
• Vulnerabilidad de Falsificación de petición en sitios cruzados (CSRF) Renombrado de usuario en Triagis® Security Evaluation
• Vulnerabilidad de Falsificación de petición en sitios cruzados (CSRF) Renombrado del prefijo de la base de datos en Triagis® Security Evaluation
• Vulnerabilidad Arbitrarias de Subida de Archivos (CSRF) en WooCommerce Catalog Enquiry
• Vulnerabilidad de Falsificación de petición en sitios cruzados (CSRF) Subida arbitraria de archivos en TheCartPress
• Vulnerabilidad XSS Indirecta (Reflejada) en Contact Form 7 Database
• Vulnerabilidad XSS Indirecta (Reflejada) en WP Statistics <= 12.0.4
• Vulnerabilidad XSS Indirecta (Reflejada) en Captcha by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Car Rental by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Contact Form by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Contact Form Multi by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Contact Form to DB by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Custom Admin Page by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Custom Fields Search by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Custom Search by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Email Queue by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Error Log Viewer by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Featured Posts by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Google +1 by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Google AdSense by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Google Analytics by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Google Captcha (reCAPTCHA) by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Google Maps by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en htaccess by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Job Board by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Latest Posts by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en LinkedIn by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Pagination by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en PDF & Print by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Pinterest by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Popular Posts by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Portfolio by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en PromoBar by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Rating by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Realty by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Relevant – Related Posts by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Sender by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en SMTP by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Social Buttons Pack by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Social Login by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Subscriber by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Testimonials by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Timesheet by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Twitter Button by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Updater by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en User Role by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Visitors Online by BestWebSoft
• Vulnerabilidad XSS Indirecta (Reflejada) en Zendesk Help Center by BestWebSoft
• Vulnerabilidad de divulgación de información en BackUpWordPress
• Vulnerabilidad de Inyección de Objeto PHP no Autenticada en blogVault
• Vulnerabilidad de almacenamiento no autenticado CSRF/XSS en Download WordPress Firewall 2
• Vulnerabilidad de Inclusión de archivos locales autenticados (LFI) en WordPress Ad Widget <= 2.11.0
• Vulnerabilidad de Inyección SQL ciega autenticada en Calendar by WD <= 1.5.51
• Vulnerabilidad de Almacenamiento de secuencias de comandos entre sitios (XSS) en YOP Poll <= 5.8.0
• Vulnerabilidad de secuencias de comandos de sitios cruzados (XSS) en Slideshow Gallery <= 1.6.5

Temas WordPress vulnerables Abril 2017

• Ninguno

Vulnerabilidades del núcleo de WordPress Abril 2017

• Ninguna

Resumen:

• Plugins vulnerables: 56
• Temas vulnerables: 0
• Vulnerabilidades del núcleo: 0

El ranking de países desde los que proceden los ataques a sitios WordPress en el mes de Abril ha sido, según fuentes de Wordfence (Feedjit Inc.):

1. Rusia
2. Ukrania
3. Estados Unidos
4. Turquía
5. India
6. China

Es evidente que poner todos los huevos en la misma cesta no siempre es lo más recomendado. Visto lo sucedido con los plugins de BestWebSoft es bueno plantearse siempre diversificar y utilizar otros, de otras firmas, con funcionalidades similares para no generar agujeros de seguridad masivos en un único sitio web.