Sin duda WordPress es uno de los gestores de contenido más utilizados a nivel mundial. Esto hace que cuente con múltiples opciones y herramientas disponibles. Pero también esto hace que los piratas informáticos pongan aquí sus miras y sea objeto de ataques. Esto ocurre especialmente cuando hay vulnerabilidades en la plataforma o algún plugin. De ello vamos a hablar en este artículo. Nos hacemos eco de un fallo de seguridad que afecta a un complemento de WordPress y que permite que los atacantes puedan leer y crear cookies, así como generar usuarios con permisos de administrador. También es muy importante comprobar si WordPress tiene malware.
Una vulnerabilidad en OneTone afecta a WordPress
OneTone es uno de los temas de WordPress que podemos utilizar. Es usado por muchos usuarios. Por ello un fallo de seguridad como el que mencionamos puede afectar a muchos. Se trata de una vulnerabilidad que en caso de ser explotada permitiría a un atacante poder leer y crear cookies en el sitio. También podría crear cuentas de administrador a través de una puerta trasera.
Sin duda es un problema que puede afectar a la seguridad y privacidad de una página web. Pone en jaque a los webmasters y daña también la reputación del sitio. Esta vulnerabilidad lleva presente desde hace meses, pero los ataques ocurren desde principios de mes y la campaña sigue activa a día de hoy.
El tema de OneTone es desarrollado por Magee WP. Aunque es antiguo sigue siendo muy utilizado por los usuarios. Está presente por tanto en muchas páginas que mantienen una versión obsoleta. Concretamente, según indican los investigadores de seguridad de NinTechNet, la vulnerabilidad es un error de scripting entre sitios (XSS).
Esta vulnerabilidad XSS permite a un atacante inyectar código malicioso dentro de la configuración del tema. Hay que tener en cuenta que la última actualización lanzada por Magee WP es de 2018.
A través del código que inyecta un posible atacante podemos llegar a varios escenarios. Uno de ellos podría tener la función de redirigir a los visitantes a un sistema distribuido alojado en un sitio malicioso. También puede crear una puerta trasera para habilitar usuarios con permisos de administrador, como hemos indicado.
No cuenta con parche disponible
Hay que tener en cuenta que lo más importante de todo este asunto es que no hay parche disponible. Desde Magee WP consideran este tema obsoleto, antiguo, y por tanto no ha lanzado una solución al respecto. Es cierto que WordPress ha eliminado el tema gratuito de su repositorio, pero esto no evita que haya miles de páginas en todo el mundo que todavía utilizan este tema.
De hecho según indican los investigadores de seguridad que han detectado este problema, son más de 16.000 sitios web que tienen todavía hoy el tema de OneTone. Esto hace que esas páginas puedan verse comprometidas.
Aunque en este caso no hay parche disponible, queremos recordar una vez más la importancia de siempre contar con las últimas versiones. De esta forma podremos hacer frente a problemas que puedan surgir.
Os dejamos un artículo con consejos para mantener la seguridad en la web.
