Nuevas vulnerabilidades en complemento Elementor de Wordpress

davidrod · 14 Abr 2021

Más vulnerabilidades expuestas de Wordpress, ahora en addons de Elementor, incluso en algunos "Premium"

He visto que usan bastante eso de Elementor, la verdad, desconozco que sea esa cosa.

Vulnerabilities in 17+ Elementor Add-on Plugins for WordPress

Millions of WordPress sites affected by vulnerabilities in Elementor add-on plugins

www.searchenginejournal.com

Siempre actualicen.
Mucha suerte.

David Morales · 15 Abr 2021

davidrod dijo:
Más vulnerabilidades expuestas de Wordpress, ahora en addons de Elementor, incluso en algunos "Premium"

He visto que usan bastante eso de Elementor, la verdad, desconozco que sea esa cosa.

Vulnerabilities in 17+ Elementor Add-on Plugins for WordPress

Millions of WordPress sites affected by vulnerabilities in Elementor add-on plugins

www.searchenginejournal.com

Siempre actualicen.
Mucha suerte.

La vulnerabilidad solo afecta si el usuario malvado tiene permisos de administrador

Si no, no puede insertar nada en ningún sitio.

Así que solución #1 no brindes acceso a desconocidos a administrador tu WordPress

Paso #2 Esta subida mediante Elementor se conoció horas de lanzarse la versión afectada por Wordfence, así que fue neutralizada rápidamente para usuarios que tenían Wordfence

Sam40 · 15 Abr 2021

David Morales dijo:
La vulnerabilidad solo afecta si el usuario malvado tiene permisos de administrador

Si no, no puede insertar nada en ningún sitio.

Para eso no hace falta Elementor, si le das acceso a cualquiera como admin a tu sitio, no importa lo que uses, le estás abriendo la puerta para que haga lo que quiera 🙂

David Morales · 15 Abr 2021

Sam40 dijo:
Para eso no hace falta Elementor, si le das acceso a cualquiera como admin a tu sitio, no importa lo que uses, le estás abriendo la puerta para que haga lo que quiera 🙂

Es que desde ahí esta el detalle, dichas vulnerabilidades de elementor no afectan a nadie que no brinde admin a desconocidos y si tus admins son de confianza está vulnerabilid no te afecta

davidrod · 15 Abr 2021

Lo comentan tan seguros, como si el principal ataque de WP no fuera obtener el usuario admin, mediante esas "pequenas" vulnerabilidades. 🤔

David Morales · 15 Abr 2021

davidrod dijo:
Lo comentan tan seguros, como si el principal ataque de WP no fuera obtener el usuario admin, mediante esas "pequenas" vulnerabilidades. 🤔

Eso que mencionas es hacer pentesting al usuario admin, lo cual también soluciona wordfence, un wordpress sin wordfence no es seguro, pero basta con autentificacion de dos pasos y listo

David Morales · 15 Abr 2021

davidrod dijo:
Lo comentan tan seguros, como si el principal ataque de WP no fuera obtener el usuario admin, mediante esas "pequenas" vulnerabilidades. 🤔

Wordfence bloquea usuarios que intenten acceder y fallen varias veces

Usuarios que naveguen de manera extraña en urls erróneas

Usuarios que se detecten scrapeando en versión premium

Bloquear países determinados y más

David Morales · 15 Abr 2021

davidrod dijo:
Lo comentan tan seguros, como si el principal ataque de WP no fuera obtener el usuario admin, mediante esas "pequenas" vulnerabilidades. 🤔

Con wordfence a mi sitio no entro ni yo 😳
La otra vez me bloqueo por entrar con un proxy barato 😂

Zarat · 16 Abr 2021

Pues dependiendo de que otros plugins tenga el sitio hasta podrias hacer un reescalado de privilegios asi que mucho cuidado! xD

davidrod · 16 Abr 2021

David Morales dijo:
Con wordfence a mi sitio no entro ni yo 😳
La otra vez me bloqueo por entrar con un proxy barato 😂

Lo poco que he notado de wordfence, es que revisa el directorio de WP y los archivos wp-, así que con una shell en el directorio raiz, y cargando incluso el wp-config, una vez dentro, jamás me podrás sacar, bueno, al hacker, eso me han contado... 🥸😎😜

Incluso, inyectar un minero en un archivo .js, tampoco lo detecta Wordfence, ¡me han contado! 😇

David Morales · 16 Abr 2021

davidrod dijo:
Lo poco que he notado de wordfence, es que revisa el directorio de WP y los archivos wp-, así que con una shell en el directorio raiz, y cargando incluso el wp-config, una vez dentro, jamás me podrás sacar, bueno, al hacker, eso me han contado... 🥸😎😜

Incluso, inyectar un minero en un archivo .js, tampoco lo detecta Wordfence, ¡me han contado! 😇

Pues quien te contó no tenía instalado wordfence a la hora de ser infectado,

Y lo que mencionas del minero, necesitarías permisos para poder subir el archivo,

Los cuales volvemos al comienzo, no debes dar a desconocidos.

Nuevas vulnerabilidades en complemento Elementor de Wordpress

davidrod

Vulnerabilities in 17+ Elementor Add-on Plugins for WordPress

David Morales

Vulnerabilities in 17+ Elementor Add-on Plugins for WordPress

Sam40

David Morales

davidrod

David Morales

David Morales

David Morales

Zarat

davidrod

David Morales

Temas similares