Más de 3 millones de páginas web basadas en WordPress han recibido una actualización de emergencia para parchear una vulnerabilidad de gravedad crítica en un ‘plugin’ de un tercero, UpdraftPlus, que exponía los datos de las copias de seguridad de los sitios ante potenciales ataques.
UpdraftPlus lanzó a finales de la semana pasados dos actualizaciones de seguridad (1.22.3, para su versión gratuita; 2.22.3, para las de pago), y recomendó su uso inmediato para todos los administradores de páginas web, como anunció la compañía a través de un comunicado.
Este parche de emergencia se dirige a su ‘plugin’ homónimo, una herramienta utilizada para crear y restaurar copias de seguridad de páginas web. En la actualidad, más de 3 millones de sitios basados en WordPress lo usan, como informa UpdraftPlus en su web.
La actualización de emergencia está dirigida a solucionar una vulnerabilidad de gravedad crítica desconocida hasta el momento y advertida por primera ocasión el 15 de febrero por el investigador Marc-Alexandre Montpas, de Automattic, durante una auditoría.
El error permitía que cualquier usuario registrado en WordPress con UpdraftPlus activo pudiera descargar las copias de seguridad realizadas anteriormente por otras páginas web, algo que solo deberían poder hacer sus administradores.
Los problemas se debían a la falta de una comprobación de permisos en el código del gestor de copias de seguridad, lo que hacía posible acceder a un identificador interno, que debería haber sido desconocido, con el que un atacante podría descargar las copias de seguridad sin permiso.
UpdraftPlus ha asegurado que todos sus usuarios que hayan realizado una copia de seguridad están expuestos a causa de la vulnerabilidad ante ataques de todo tipo de criminales, incluso los menos avanzados.
También ha destacado que los sitios afectados están en riesgo de robo o pérdida de datos, en especial en los casos en que contengan información que no sea pública, por lo que ha recomendado actualizar «inmediatamente», aunque aseguró que la mayoría de los sitios ya han instaurado el parche.