Categories
Noticias

La vulnerabilidad del elemento de WordPress afecta a +7 millones

Los investigadores de seguridad en WordFence descubrieron una vulnerabilidad en los sitios construidos con el elemento. La explotación es un tipo designado como una vulnerabilidad almacenada en scripts (XSS). Tiene el potencial de permitir que los atacantes se tomen el control de un sitio web.

Vulnerabilidad de sitio transversal almacenada

Scripting de sitio cruzado (XSS) es un tipo de vulnerabilidad donde un atacante carga un script malicioso que será Luego sea ejecutado por cualquier persona que visite la página web donde se muestre el script al navegador.

El script puede hacer cualquier número de cosas como las cookies de robo, las credenciales de la contraseña, etc.En.

PublicidadContinue leyendo a continuación

Esta versión en particular de XSS Exploit se denomina vulnerabilidad almacenada en scripting de scripting porque se almacena en el propio sitio web.

El otro tipo de XSS se llama una cruz reflejada. Scripting del sitio, que depende de un enlace que se está haciendo clic (como a través de un correo electrónico).

Scripting de sitio transversal almacenado tiene el mayor potencial para hacer daño porque puede atacar a cualquier visitante a una página web.

Explotación de elementos XSS almacenados

La vulnerabilidad de XSS almacenada que afecta el elemento se puede usar para robar las credenciales de administrador. Sin embargo, el atacante debe obtener por primera vez una función de usuario de Nivel de publicación, incluso el nivel de contribuyente más bajo puede iniciar el ataque.

Nivel de contribuyente El rol de WordPress

es un nivel bajo deUsuario registrado que puede leer, publicar, editar y eliminar sus propios artículos en un sitio web. Sin embargo, no pueden cargar archivos de medios como imágenes.

PublicidadContinue leyendo a continuación Cómo funciona el ataque de vulnerabilidad de elemento

La vulnerabilidad explota una laguna que permite a un atacante la capacidad de cargar un guión malicioso dentro de la pantalla de edición. .

La laguna existía en seis componentes de elemento:

CAJA DE BAXIMACION DE CORTÓNICO DE CORTÓNICO DIVIDERCOLUSO

WordFence explicó cómo los atacantes explotan estos componentes:

“Muchos de estos elementos ofrecen la opción de establecer una etiqueta HTML para el contenido dentro. Por ejemplo, el elemento “encabezado” se puede configurar para usar H1, H2, H3, etc. Etiquetas para aplicar diferentes tamaños de encabezado a través del encabezado_size PARAMETER.

Lamentablemente, para seis de estos elementos, las etiquetas HTML no se validaron en el lado del servidor, por lo que fue posible que cualquier usuario pueda acceder al editor de elementor, incluidos los contribuyentes, para usar esta opción para agregar Ejecutable JavaScript a una publicación o página a través de una solicitud artesanal “.
Una vez que el script se cargó a cualquier visitante a la página web, incluso si es el editor lo previsto de la página antes de la publicación, podría ejecutar el código en El navegador y tiene su sesión autenticada puesta a disposición del atacante.

Elemento de actualización ahora Se recomienda por palabra que todos los usuarios de Elementor actualizan su versión a al menos 3.1.4 (por palabra ) Aunque el elemento oficial Provent Collegog afirma que hay una solución de seguridad.

Un registro de cambios es unEl registro oficial de los cambios de los cambios de desarrollador de software a todas las versiones del software. Puede ser prudente actualizar a la última versión disponible, ya que el elementor pro 3.2.0 corrige un problema de seguridad: “Opciones desinfectadas en el editor para hacer cumplir las mejores políticas de seguridad” Citas Anuncio oficial de WordFence: Scripting cruzado Las vulnerabilidades en el elemento impacto en más de 7 millones de sitios advertisementcontinue leyendo a continuación elementor pro Changelog

Leave a Reply

Your email address will not be published. Required fields are marked *