Una vulnerabilidad de alta gravedad en un popular complemento de respaldo de WordPress permite a atacantes no autenticados explotar la falla. La vulnerabilidad tiene una calificación de 8,8 en una escala de 0,0 a 10.

UpdraftPlus: complemento de migración y copia de seguridad de WP

La vulnerabilidad afecta al popular complemento Updraft Plus de WordPress, instalado en más de 3 millones de sitios web. Updraft Plus viene en una versión gratuita y de pago que permite a los usuarios cargar copias de seguridad en el almacenamiento en la nube del usuario o enviar los archivos por correo electrónico. El complemento permite a los usuarios realizar copias de seguridad manualmente del sitio web o programarlo para copias de seguridad automáticas. Ofrece una enorme flexibilidad de lo que se puede respaldar y puede marcar una gran diferencia para recuperarse de un problema catastrófico del servidor y también es útil para migrar a un servidor completamente diferente.

Wordfence explica la vulnerabilidad:

“El complemento UpdraftPlus: WP Backup & Migration Plugin para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.24.11 inclusive a través de la deserialización de entradas que no son de confianza en la función ‘recursive_unserialized_replace’. Esto hace posible que atacantes no autenticados inyecten un objeto PHP.

No hay ninguna cadena POP conocida presente en el software vulnerable. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código. Un administrador debe realizar una acción de búsqueda y reemplazo para activar el exploit”.

El registro de cambios de Updraft Plus parece minimizar la vulnerabilidad, ni siquiera llama a la actualización un parche de seguridad, está etiquetado como un “retoque”.

Del registro de cambios oficial del complemento Updraft Plus WordPress:

“TWEAK: Complete la revisión y eliminación de llamadas a la función PHP unserialize() que permite la creación de instancias de clases iniciadas en 1.24.7. (La eliminación final implicó un defecto de seguridad teórico, si su sitio de desarrollo permitió que un atacante publicara contenido que usted migró a otro sitio y que contenía código personalizado que podría realizar acciones destructivas que el atacante conocía, antes de que usted clonara). El resultado de esta eliminación es que se omitirán algunas búsquedas de reemplazo, que es muy poco probable que se encuentren en la práctica).

Vulnerabilidad de Updraft Plus parcheada

Se recomienda a los usuarios que consideren actualizar sus instalaciones de Updraft Plus a la última versión, 1.24.12. Todas las versiones anteriores a la última versión son vulnerables.

Lea el aviso de Wordfence:

UpdraftPlus: Complemento de migración y copia de seguridad de WP <= 1.24.11 – Inyección de objetos PHP no autenticados

Imagen destacada de Shutterstock/Tithi Luadthong