{"id":1763,"date":"2020-01-14T10:22:18","date_gmt":"2020-01-14T15:22:18","guid":{"rendered":"https:\/\/cert.pa\/?p=1763"},"modified":"2020-01-14T10:33:55","modified_gmt":"2020-01-14T15:33:55","slug":"vulnerabilidades-comunes-de-plugins-en-wordpress-parte-2-de-2","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=1763","title":{"rendered":"Vulnerabilidades comunes de plugins en WordPress Parte 2 de 2"},"content":{"rendered":"\n

Los plugins facilitan la ejecuci\u00f3n de tareas administrativas o de publicaci\u00f3n en los sitios web con WordPress, pero tambi\u00e9n pueden ser objeto de abuso por parte de terceros con intenciones maliciosas. Algunas de las vulnerabilidades comunes a los que est\u00e1n expuestos los plugins de WordPress se presentan a continuaci\u00f3n.<\/p><\/DIV>\n\n\n\n

a. Visualizaci\u00f3n de archivos arbitrarios.
\nb. Carga de archivos arbitrarios.
\nc. Inyecciones SQL.
\nd. Escalada de privilegios.
\ne. Evaluaci\u00f3n remota de c\u00f3digo.
\nf. Secuencia de Comandos en Sitios Cruzados (XSS).
\ng. Falsificaci\u00f3n de Peticiones en Sitios Cruzados (CSRF).<\/p>\n\n\n\n

Para leer sobre las primeras cuatro vulnerabilidades mencionadas, revisar la parte 1 del art\u00edculo.<\/a><\/strong><\/p>\n\n\n\n

e. Evaluaci\u00f3n remota de c\u00f3digo.<\/strong>
Nombre en ingl\u00e9s: Remote code evaluation.
\u00bfPor qu\u00e9 es inseguro?<\/strong>
La evaluaci\u00f3n remota es una vulnerabilidad que puede ser explotada si una entrada de datos de usuario es inyectada en un archivo o una cadena que es evaluada (ejecutada) por el procesador del lenguaje de programaci\u00f3n de la aplicaci\u00f3n web.
\u00bfC\u00f3mo se soluciona o mitiga?<\/strong>
Se aconseja evitar entradas de datos de usuario dentro de c\u00f3digo evaluador del respectivo lenguaje de programaci\u00f3n, esto se puede lograr evitando el uso de funciones como “eval”*. Tambi\u00e9n es buena pr\u00e1ctica evitar que alg\u00fan usuario edite contenidos y extensiones de archivos que podr\u00edan ser procesados por los determinados lenguajes de programaci\u00f3n del sitio web.
*\u201deval\u201d es una funci\u00f3n usada en algunos lenguajes de programaci\u00f3n para la evaluaci\u00f3n de cadenas de caracteres para la obtenci\u00f3n de un resultado.<\/p><\/DIV>\n\n\n\n

Para mayor informaci\u00f3n revisar https:\/\/www.netsparker.com\/blog\/web-security\/remote-code-evaluation-execution\/<\/a><\/p>\n\n\n\n

f. Secuencia de Comandos en Sitios Cruzados (XSS)<\/strong>
Nombre en ingl\u00e9s: Cross-Site Scripting (XSS)
\u00bfPor qu\u00e9 es inseguro?<\/strong>
Esta vulnerabilidad permite ejecutar comandos en el navegador web del usuario v\u00edctima, permitiendo a un atacante remoto secuestrar una sesi\u00f3n, realizar una modificaci\u00f3n no autorizada de contenido en el sitio web o re-direccionar a un usuario hacia un sitio malicioso.
\u00bfC\u00f3mo se soluciona o mitiga?<\/strong>
Se requiere mantener los datos no confiables separados del contenido activo del navegador, a trav\u00e9s del uso de frameworks seguros que por dise\u00f1o codifican de manera autom\u00e1tica el contenido para prevenir XSS, como Ruby on Rails (versiones superiores a 3.0) o React JS. Habilitar en el servidor web una Pol\u00edtica de Seguridad de Contenido (CSP por sus siglas en ingl\u00e9s).<\/p><\/DIV>\n\n\n\n

Para mayor informaci\u00f3n revisar secci\u00f3n “Cross-Site Scripting (XSS)” en https:\/\/www.owasp.org\/images\/5\/5e\/OWASP-Top-10-2017-es.pdf<\/a><\/p>\n\n\n\n

g. Falsificaci\u00f3n de Peticiones en Sitios Cruzados (CSRF).<\/strong>
Nombre en ingl\u00e9s: Cross-Site Request Forgery (CSRF).
\u00bfPor qu\u00e9 es inseguro?<\/strong>
Un ataque CSRF obliga al navegador web de un usuario v\u00edctima con una sesi\u00f3n iniciada a realizar una petici\u00f3n a trav\u00e9s de la sesi\u00f3n activa.
\u00bfC\u00f3mo se soluciona o mitiga?<\/strong>
Introducir tokens aleatorios \u00fanicos en cada formulario y URL que no sean autom\u00e1ticamente presentados en el navegador web, asegurar que se hayan eliminado todas las vulnerabilidades de Secuencia de Comandos en Sitios Cruzados (XSS) de la aplicaci\u00f3n web.<\/p><\/DIV>\n\n\n\n

Para mayor informaci\u00f3n revisar <\/strong>https:\/\/www.owasp.org\/index.php\/Top_10_2007-Vulnerabilidades_de_Falsificaci\u00f3n_de_Petici\u00f3n_en_Sitios_Cruzados_(CSRF)<\/a><\/p>\n\n\n\n

Referencias:<\/strong>
https:\/\/www.netsparker.com\/blog\/web-security\/remote-code-evaluation-execution\/<\/a>
https:\/\/www.owasp.org\/images\/5\/5e\/OWASP-Top-10-2017-es.pdf<\/a>
https:\/\/www.owasp.org\/index.php\/Top_10_2007-Vulnerabilidades_de_Falsificaci\u00f3n_de_Petici\u00f3n_en_Sitios_Cruzados_(CSRF)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Los plugins facilitan la ejecuci\u00f3n de tareas administrativas o de publicaci\u00f3n en los sitios web con WordPress, pero tambi\u00e9n pueden ser objeto de abuso por parte de terceros con intenciones maliciosas. Algunas de las vulnerabilidades…<\/p>\n","protected":false},"author":4,"featured_media":1762,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[3],"tags":[],"class_list":["post-1763","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-y-seguridad"],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/1763","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1763"}],"version-history":[{"count":3,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/1763\/revisions"}],"predecessor-version":[{"id":1766,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/1763\/revisions\/1766"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/1762"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1763"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1763"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1763"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}