|
Dr. Dave, el autor del muy afamado anticommentspam SpamKarma, hace pública una advertencia de una muy crítica falla de seguridad en WordPress, aunque prudentemente sin dar demasiados detalles.
MAJOR SECURITY ANNOUNCEMENT
Afectando a todos los usuarios de WP. Por favor desactivar inmediatamente la registración de usuarios invitados, si está habilitado, y avisar al resto de los bloggers que utilizan WP. No puedo dar demasiados detalles técnicos para no exponer innecesariamente a los usuarios de WP, pero creanme que esto no es una broma.
Para deshabilitarlo: WP-Admin, ir a opciones y destildar “Cualquiera puede registrarse” o “Anyone can register”.
En su sitio da un poco más de detalles:
“Is this a joke/hoax?”
Is the date the 1st of April?
“How critical is it?”
Critical enough.
Not all Wordpress users are at risk, but I don’t suppose that would be of much comfort to you if you belonged to the 30% hackable installs.
“Will you tell me more about this exploit? I swear I won’t tell anybody else! This will stay between you, me and the World Wide Web…”
Frankly, if you do not understand why I won’t even be giving the slightest hint of what the exact problem is before enough people have applied the temporary fix (disabling ‘user can register’, under Options >> General) and an upgrade has been released, you are the last person I should be telling to about this.
“Are you a Wordpress official? a Wordpress developer? Anybody with a title I can trust?”
Absolutely not. In fact, less than ever.
UPDATE: Confirmado. Ya vi el script.. al parecer se aprovecha de inyectar código en la carpeta “cache/userlogins”, permitiéndole ejecutar cualquier comando en el servidor (como usuario webserver) e incluso ya deja preparado el WP con un backdoor para futuras intrusiones.
Dan una solución alternativa para quienes tengan usuarios de los que no saben si confiar: restringir, via .htaccess, wp-content/cache/userlogins/ y wp-content/cache/users/.
WP ya fue avisado y está preparando un patch.
| 
