Nueva vulnerabilidad en el plugin WP eCommerce

Si eres uno de esos usuarios que usa WordPress como plataforma para crear una tienda online con el plugin WP eCommerce, deberás actualizarlo antes posible ya que la empresa de seguridad Sucuri ha publicado una nueva vulnerabilidad en este plugin.

El comunicado informa de que cualquier versión 3.8.14.3 o inferior es vulnerable, aunque en este caso la vulnerabilidad no permite acceso al servidor (sólo permite robo de información) por lo que no la han catalogado como crítica.

Es un plugin muy usado por la comunidad WordPress que tiene casi tres millones de descargas, por lo que los desarrolladores de WP eCommerce han actuado rápido arreglando el problema de seguridad con la actualización 3.8.14.4.

Análisis de la vulnerabilidad del plugin WP eCommerce.

Según la información publicada por Sucuri, el fallo de seguridad es similar al publicado hace algún tiempo en el plugin MailPoet. Los desarrolladores emplean el hook admin_init como medio de verificación de permisos lo cual es un error grave ya que este hook se puede ejecutar sin ningún tipo de autentificación a través de /wp-admin/admin-ajax.php y /wp-admin/admin-post.php.

Esta vulnerabilidad permite a un usuario malintencionado realizar algunas tareas administrativas a través del plugin sin tener autorización para ello. La vulnerabilidad permite descargar los datos de los clientes (nombre, correo, dirección, etc), cambiar el estado de una compra (por ejemplo cambiar el estado de no pagado a pagado) o incluso permite comprar productos sin haber pagado.

No hay que quitarle importancia a este tipo de vulnerabilidades de robo de información porque aunque en principio no suponga un gran riesgo, exponer los datos de tus clientes puede acarrear problemas legales. También puede generar pérdidas a nuestra empresa realizando compras sin haber pagado un euro, por lo que la vulnerabilidad es seria.

Una vez más es un plugin el que expone la seguridad de nuestro blog WordPress, por ello no me cansaré de repetirlo, los plugins hay que mantenerlos actualizados. También me demuestra que los desarrolladores no siguen las directrices de seguridad pues este mismo problema lo hemos visto ya en varias ocasiones (MailPoet, WPTouch y Custom Contact Forms).

Fuente (en inglés): http://goo.gl/L4b9XU