Descubrieron vulnerabilidad de día cero en complemento de WordPress

Recientemente, especialistas en seguridad para sitios web detectaron una vulnerabilidad de día cero en un complemento de WordPress.

De acuerdo a los reportes, el problema se presenta en un complemento creado por la compañía ThemeREX, cuya función es ayudar a los compradores del producto en materia de configuración y control de sus sitios web, así como de las características de tema.

Según la compañía de firewall para aplicaciones web, WordFence, este complemento vulnerable está instalado en más de 44 mil sitios y algunos de estos, han sido atacados por los hackers desde el pasado 18 de febrero.

En este sentido, el analista de amenazas de WordFence, Chloe Chamberland, explicó que la vulnerabilidad tiene su origen en el funcionamiento del complemento, puesto que este configura un punto final REST-API, pero no verifica que los comandos enviados a él provengan del propietario del sitio.

«Cualquier visitante puede ejecutar el código remoto, incluso aquellos que no están autenticados en el sitio (…) La capacidad más preocupante que vemos atacada activamente es la capacidad de crear un nuevo usuario administrativo, que se puede utilizar para la toma de control completa del sitio», agregó.

Ante esta situación, los expertos recomendaron eliminar temporalmente el complemento ThemeREX, hasta que sea lanzado un parche de seguridad que corrija el problema.