Recientemente ha sido publicada una nueva versión del popular plugin All in One SEO Pack, utilizado para mejorar la visibilidad online de los blogs, con el objetivo de parchear vulnerabilidades encontradas recientemente en él. El número de descargas de este plugin es impresionante: más de 18 millones desde su lanzamiento.

SEO significa Search Engine Optimization, u Optimización de Motores de Búsqueda, y tiene como objetivo posicionar un determinado sitio de forma que, cuando una persona busca material en la web a través de herramientas como Google o Bing, las palabras clave buscadas lleven esta persona al sitio que utiliza las técnicas de SEO. Por lo tanto, es una herramienta de uso masivo en el universo de los blogueros.

Dos brechas de seguridad que permiten escalar privilegios y el Cross-site Scripting fueron descubiertas por SucuriBlog. Al escalar privilegios, un atacante que no tiene derechos de administrador en un determinado sitio puede agregar o cambiar parámetros utilizados por el plugin mencionado, y de esta forma cambiar el título de un post, su descripción y tags (etiquetas), lo que bajaría mucho la cantidad de visitas o incluso perjudicaría la credibilidad del mismo.

El segundo bug trae consecuencias potencialmente más severas. Al combinar esta vulnerabilidad con otra ya conocida, el atacante puede ejecutar códigos Javascript en el Panel de Control de administrador. Eso permitiría al atacante cambiar la contraseña de administrador del sitio e infectar los archivos presentes.

No es la primera vez que publicamos vulnerabilidades en plugins de WordPress: recordemos la vulnerabilidad en el módulo Count Per Day, muy semejante a la que mencionamos hoy, pero que utilizaba la Ingeniería Social para incitar a un usuario a completar un formulario falso, en el cual la víctima ingresaría sus credenciales creyendo en la autenticidad del mismo, lo que permitía el ingreso del atacante.

Para evitar los problemas mencionados hasta acá, lo primero que se debe hacer es actualizar la versión de All in One SEO Pack. Para hacerlo, basta ingresar al panel de administración de WordPress, seleccionar “plugins”, luego “todos” y seleccionar “actualizar” en el menú desplegable en la parte inferior de la página.

Una vez actualizado, vale la pena fortalecer la seguridad en WordPress para evitar futuros percances, y auditar la plataforma con WPScan.