Cuando se informa una nueva falla de seguridad en un desarrollo de software, comienza una carrera entre expertos en pruebas de vulnerabilidad a cargo de corregirla y ciberdelincuentes que desean explotar las fallas. Esto es especialmente notable en cuanto a los productos más utilizados, como algunos complementos de WordPress.
Elementor, uno de los complementos más populares del mundo, presenta una vulnerabilidad denominada Reflexión Autenticada XSS, cuya explotación permitiría a los actores de amenazas ejecutar scripts en sitios de WordPress desde otro sitio para desplegar actividades maliciosas como el robo de credenciales de acceso.
Los expertos en pruebas de vulnerabilidad mencionan que la falla depende de la carga de un script en el sitio vulnerable usando, por ejemplo, un cuadro de búsqueda. A continuación se describe un posible escenario de explotación:
- Un actor de amenazas crea una URL especialmente diseñada para el ataque.
- Cuando la víctima sigue la URL, se ejecutará el script, que está alojado en un sitio externo.
- El hacker enviará un enlace a los usuarios objetivo para robar sus credenciales del sitio web atacado
Este error ya se ha informado en la Base de datos de vulnerabilidades de WordPress, una plataforma que contiene información actualizada sobre cualquier vulnerabilidad encontrada en el sistema de administración de contenido y sus complementos más populares. Los administradores informaron que, para evitar la explotación en la naturaleza, la prueba de concepto permanecerá inédita hasta al menos el 12 de febrero.
La vulnerabilidad fue encontrada por la firma de seguridad Impenetrable.tech, que lo informó a los editores de Elementor lo antes posible. Los desarrolladores de WordPress Visual Builder repararon inmediatamente la falla. La vulnerabilidad se divulgó públicamente una vez que se completó su reparación.
Los especialistas en pruebas de vulnerabilidad del Instituto Internacional de Seguridad Cibernética (IICS) mencionan que la falla afecta a Elementor versiones 2.8.4 y anteriores. La nueva versión, 2.8.5, debe actualizarse desde la interfaz de administración de los sitios de WordPress. Después de iniciar sesión, encontrará un enlace de actualización en su página de WordPress; de lo contrario, puede actualizar el complemento desde la barra lateral del administrador del sitio web.