El popular complemento All in One SEO, que es empleado por más de 3 millones de sitios web para mejorar el posicionamiento en motores de búsqueda, presenta dos vulnerabilidades críticas.

Ya han lanzado la actualización el 7 de diciembre, pero los webmasters están tardando en aplicar este parche.

Marc Montpas investigador de seguridad de Automattic descubrió los fallos de seguridad a principios de diciembre durante una auditoría interna al complemento All in One SEO. Una de las vulnerabilidades (CVE-2021-25036) podría permitir que un usuario con el rol de suscriptor adquiera privilegios elevados, mientras que la otra (CVE-2021-25037) abriría la puerta a las bases de datos con información privada.

Una vulnerabilidad grave y fácil de explotar

Los sitios de WordPress tienen diferentes roles. Se trata de administrador, editor, autor, colaborador o suscriptor. Este último tiene únicamente la capacidad de leer entradas y dejar comentarios en la mismas, pero aprovechándose de la vulnerabilidad CVE-2021-25036 podría llegar a actuar como administrador del sitio y así controlarlo por completo.

En líneas generales, y sin entrar en detalles técnicos que pueden ser consultados en este artículo de Jetpack, el atacante podría utilizar el complemento vulnerable para omitir las comprobaciones de privilegios requeridas por la API REST. Tan solo tendría que cambiar un carácter a mayúsculas en una petición. De esta forma podría, por ejemplo, ejecutar código malicioso en el servidor.

Qué hacer ante la vulnerabilidad de All in One SEO

Las mencionadas vulnerabilidades afectan a las versiones 4.0.0 a 4.1.5.2 de complemento All in One SEO. Para proteger los sitios web, los webmasters deberán instalar la versión 4.1.5.3 que se puede consultar desde este enlace. Asimismo se recomienda mantener todos los plugins actualizados para evitar posibles riegos de seguridad.