Complementos de WordPress pirateados, peligrosos y vulnerables
Esta pagina está actualmente en construcción. ¡Estamos trabajando para mejorarlo!
Con más de 47 mil complementos en el repositorio oficial de WordPress y miles más disponibles en otros mercados y sitios, encontrar aquellos que funcionen bien es una tarea desalentadora. Encontrar complementos de WordPress que sean seguros y que no pongan en peligro su sitio es una tarea aún más difícil debido a la naturaleza compleja de la seguridad de WordPress y, a menudo, complementos masivos con miles de líneas de código.
Aunque no podemos ayudarle a evitar todos y cada uno de los complementos incorrectos, podemos identificar aquellos que han conocido y confirmado vulnerabilidades y problemas de seguridad. A menos que sepa lo que está haciendo, esté probando algo en una instalación local o esté interesado en la seguridad de WordPress, no debe utilizar los complementos peligrosos que se enumeran a continuación en los sitios de producción. Los problemas explicados en la siguiente tabla son bien conocidos y documentados, lo que facilita que cualquier persona con malas intenciones explote esos agujeros de seguridad y ataque su sitio.
Al enumerar complementos en esta página, no pretendemos faltarles el respeto a ellos ni a sus autores. Sólo queremos advertir a los usuarios que no instalen versiones específicas que tengan problemas de seguridad conocidos. Si cree que su complemento ha sido incluido por falla o necesita ayuda para actualizarlo, contáctenos.
¿Cómo utilizar esta página y la lista de complementos vulnerables?
Si está utilizando alguno de los complementos enumerados, verifique dos veces el número de versión y confirme que es el que tiene problemas conocidos. Si es así, ¡elimine el complemento inmediatamente! Esto incluye desactivarlo y eliminarlo. No sólo desactivar. También puede ponerse en contacto con el autor y preguntarle si los problemas se han solucionado y, en caso contrario, instarle a que lo haga.
Tipos de vulnerabilidad
Un recordatorio rápido de los problemas y agujeros de seguridad más comunes que enfrentan los complementos de WordPress. Tenga en cuenta que la mayoría de los problemas son una combinación de dos o más tipos que se enumeran a continuación.
Visualización arbitraria de archivos
En lugar de permitir que solo se vea cierta fuente de archivo (por ejemplo, plantillas de complementos), la falta de comprobaciones en el código permite al atacante ver la fuente de cualquier archivo, incluidos aquellos con información confidencial como wp-config.php.
Carga arbitraria de archivos
La falta de tipo de archivo y filtrado de contenido permite cargar archivos arbitrarios que pueden contener código ejecutable que, una vez ejecutado, puede hacer prácticamente cualquier cosa en un sitio.
Escalada de privilegios
Una vez que el atacante tiene una cuenta en el sitio, incluso si es sólo del tipo suscriptor, puede escalar sus privilegios a un nivel superior, incluidos los administrativos.
inyección SQL
Al no escapar ni filtrar los datos que van a las consultas SQL, se puede inyectar código malicioso en las consultas y eliminar, actualizar o insertar datos en la base de datos. Esta es una de las vulnerabilidades más comunes.
Ejecución remota de código (RCE)
En lugar de cargar y ejecutar código malicioso, el atacante puede ejecutarlo desde una ubicación remota. El código puede hacer cualquier cosa, desde secuestrar el sitio hasta eliminarlo por completo.
Lista de complementos de WordPress pirateados, peligrosos y vulnerables
¿Su sitio de WordPress ha sido pirateado?
No te desesperes; nos pasa a los mejores. Es difícil dar consejos genéricos sin echar un vistazo a su sitio, pero si aún puede iniciar sesión en su administrador de WP, le sugerimos que instale el complemento gratuito de Security Ninja. Realizará más de 40 pruebas en su sitio y, con el complemento Core, puede validar la integridad de sus archivos principales comparándolos con las copias maestras seguras almacenadas en WordPress.org. ¡Es una herramienta invaluable para cualquier sitio de WordPress!
Fuentes
La lista de los últimos complementos de WordPress peligrosos y vulnerables se compila a partir de varias fuentes, entre ellas:
