WordPress 5.8.1 lanzado para corregir múltiples inseguridades

WordPress anunció una versión de seguridad y cuidado, la versión 5.8.1. Es esencial actualizar WordPress, en especial las ediciones 5.4 a 5.8, para arreglar tres inconvenientes de seguridad.

Versión de seguridad y cuidado de WordPress 5.8.1

No es extraño que WordPress o algún otro programa publique una actualización de corrección de fallos tras una actualización de versión primordial para arreglar inconvenientes imprevisibles y también ingresar novedades que no llegaron a la versión primordial a tiempo.

En WordPress, estas actualizaciones se conocen como versión de cuidado.

Esta actualización asimismo incluye una actualización de seguridad que es un tanto excepcional para el núcleo de WordPress. Eso provoca que esta actualización sea más esencial que la versión de cuidado habitual.

Inconvenientes de seguridad solucionados de WordPress

WordPress 5.8.1 soluciona tres inseguridades:

1. Una puerta de inseguridad de exposición de datos en la Interfaz de programación de aplicaciones REST
2. Puerta de inseguridad de Cross-Site Scripting (XSS) en el editor de bloques de Gutenberg
3. Múltiples inseguridades de seguridad críticas a altísimas en la biblioteca de JavaScript de Lodash

Las tres inseguridades precedentes son tan alarmantes que el aviso de WordPress sugiere actualizar las instalaciones de WordPress inmediatamente.

Puerta de inseguridad de la Interfaz de programación de aplicaciones REST

La Interfaz de programación de aplicaciones REST de WordPress es una plataforma de trabajo que deja que los complementos y temas interaccionen con el núcleo de WordPress.

La Interfaz de programación de aplicaciones REST fué una fuente de inseguridades de seguridad, mucho más últimamente la puerta de inseguridad Gutenberg Template Library & Redux Framework que afectó a mucho más de un millón de websites.

Esta puerta de inseguridad se conoce como puerta de inseguridad de explosión de datos, lo que quiere decir que se podría filtrar información confidencial. Hoy en día no hay mucho más datos sobre qué género de información, pero podría ser tan serio como las claves de acceso a los datos que podrían emplearse para publicar un ataque por medio de otra puerta de inseguridad.

Puerta de inseguridad de WordPress Gutenberg XSS

Las inseguridades de Cross-Site Scripting (XSS) son parcialmente recurrentes. Tienen la posibilidad de mostrarse toda vez que se efectúa una entrada del usuario, como un formulario de contacto o correo, cualquier clase de entrada que no esté "desinfectada" para eludir la carga de scripts que ocasionan un accionar no esperado en la instalación de WordPress.

El Emprendimiento de seguridad de apps web abiertas (OWASP) detalla el daño potencial de las inseguridades XSS:

“Un agresor podría emplear XSS para mandar un script malicioso a un usuario desprevenido. El navegador del usuario final no puede decir que el script no es de seguridad y lo ejecuta.

Ya que piensa que el script procede de una fuente fiable, el script malicioso puede entrar a las cookies, tokens de sesión u otra información confidencial guardada por el navegador y usada con este portal web. Estos scripts tienen la posibilidad de aun escribir de nuevo el contenido de la página HTML ".

Esta puerta de inseguridad particularmente perjudica al editor de bloques de Gutenberg.

Inseguridades en la biblioteca JavaScript Lodash de WordPress

Estas inseguridades son quizás las mucho más alarmantes. La biblioteca de JavaScript de Lodash es una secuencia de scripts empleados por los programadores que se encontró que tienen múltiples inseguridades.

La última y mucho más segura versión es Lodash 4.17.21.

El sitio de listas de CVE, patrocinado por US Homeland Security, detalla la puerta de inseguridad:

"Las ediciones Lodash precedentes a 4.17.21 son susceptibles de inyección de comandos por medio de la función de plantilla".

Asimismo semeja haber muchas otras inseguridades que afectan a la biblioteca Lodash en la rama 4.1.7.

WordPress pide una actualización instantánea

Estas inseguridades le dan a esta actualización un sentido de urgencia. WordPress sugiere que todos y cada uno de los editores actualicen.

El aviso oficial de WordPress sugiere actualizar:

“Como hablamos de una versión de seguridad, se aconseja que actualice sus sitios inmediatamente. Todas y cada una de las ediciones desde WordPress 5.4 asimismo se han actualizado ".

Citas

Versión de seguridad y cuidado de WordPress 5.8.1

Descripción de la puerta de inseguridad CVE Lodash CVE-2021-23337