Wordpress lanzó una actualización automática que parchea una vulnerabilidad severa en Loginizer, un popular plugin para WordPress que ofrece varias funcionalidades de seguridad en los sitios en los que se ha instalado. Se trata de una vulnerabilidad de inyección SQL que permitiría a un atacante tomar el control de sitios web que utilicen una versión desactualizada del plugin.
Se da la particularidad de que el parche fue lanzado por Wordpress org, quien forzó la actualización a la versión 1.6.4 del plugin, siendo una práctica poco frecuente por parte de la plataforma y que en el pasado ha realizado para corregir vulnerabilidades importantes. De hecho, según afirma ZDNet, se trata de uno de los peores fallos de seguridad que se han descubierto en plugins para WordPress en los últimos años.
En cuanto a Loginizer, se trata de un plugin que ofrece protección ante ataques de fuerza bruta a los sitios web bloqueando el acceso a una determinada IP luego de un número máximo de intentos para iniciar sesión. Además, ofrece otras funcionalidades, como autenticación vía doble factor de autenticación o reCAPTCHA, entre otras. Actualmente ha sido instalado en más de un millón de sitios WordPress.
Lectura relacionada: Qué es un ataque de fuerza bruta y cómo funciona
El hallazgo de esta vulnerabilidad es obra del investigador Slavco Mihajloski, quien publicó los detalles del fallo. Por su parte, la base de datos de vulnerabilidades en WordPress, WPScan, publicó información de la vulnerabilidad y explica que el fallo radica en la funcionalidad de protección ante ataques de fuerza bruta que es activada por defecto una vez que se instala el plugin. Para explotar el fallo, un atacante puede ingresar un nombre de usuario no válido, mismo que se registra en la base de datos del backend junto a otros parámetros, pero sin ser validado de manera adecuada para ser incluido dentro de las consultas SQL, lo que permite al atacante realizar un ataque de inyección SQL para evadir la autenticación.
Este año se descubrieron varias vulnerabilidades en plugins para WordPress, como fue la vulnerabilidad crítica en el plugin ThemeGrill Demo Importer, el fallo en el plugin de Chat de Facebook para sitios WordPress o más recientemente la vulnerabilidad zero-day en el plugin File Manager que recibió varios intentos de ataque.