systemadmin.es > Seguridad > Actualización critica de WordPress

Actualización critica de WordPress

Según ha comunicado Matt Mullenweg existe una vulnerabilidad critica en WordPress, por lo que se recomienda actualizar a la última versión (3.0.4). En dicha versión se corrige un bug en la librería limpieza del HTML, conocida como KSES que permite un XSS almacenado.

El mensaje es suficientemente claro:

My last message to you this year is an important but unfortunate one: we’ve fixed a pretty critical vulnerability in WordPress’ core HTML sanitation library, and because this library is used lots of places it’s important that everyone update as soon as possible.

I realize an update during the holidays is no fun, but this one is worth putting down the eggnog for. In the spirit of the holidays, consider helping your friends as well.

Viendo el changelog del WordPress 3.0.4 aparentemente era posible evadir los filtros usando mayusculas, ya que se ha añadido la función strtolower. Por ejemplo, se ha cambiado:

if ( in_array($attrname, $uris) ) 

Por lo siguiente:

 if ( in_array(strtolower($attrname), $uris) ) 

Una prueba de concepto es la siguiente. Si incluimos un atributo permitido en mayúsculas no se comprueba que hay en su interior, por lo que podemos insertar javascript:

<a HREF="javascript:alert(0)">ejemplo</a>

Evidentemente una vez insertado el javascript se puede hacer cualquier cosa. Dicho XSS almacenado puede ser mitigado mediante la moderación de los comentarios, pero se recomienda que todos los que tengan su blog con WordPress lo actualicen a dicha versión lo más pronto posible.

Deja un comentario:

XHTML - Tags permitidos:<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>