Los usuarios de WordPress deberían tomar precauciones extras la próxima vez que se autentiquen en sus sesiones desde una red inalámbrica pública, puede ser comprometida sin su conocimiento, incluso si está habilitada la autenticación de doble factor.

Yan Zhu, una investigadora de Electronic Frontier Foundation (EFF por sus siglas en inglés) anunció que los blogs alojados en WordPress están enviando cookies de autenticación de usuario en texto plano en vez de hacerlo de manera cifrada. En consecuencia, es fácil secuestrar una sesión, incluso por un Script-Kiddie en busca de información para robar.

Cuando los usuarios de WordPress inician sesión en sus cuentas, los servidores de WordPress.com establecen una cookie web con nombre wordpress_logged_in en los navegadores de los usuarios, Yan Zhu explicó en una publicación. Esta cookie de autenticación está siendo enviada mediante HTTP de manera insegura.

Se pueden capturar cookies HTTP desde la misma red Wi-Fi usando herramientas especializadas como Firesheep, un instrumento de monitorización de red. La cookie capturada se puede utilizar en un navegador para obtener acceso no autorizado en las cuentas de WordPress, de esta manera una cuenta podría ser comprometida.

Mediante el robo de cookies, un atacante puede obtener acceso automático a las cuentas de WordPress de las víctimas sin ingresar las credenciales, afortunadamente la vulnerabilidad no permite cambiar las contraseñas, pero los usuarios afectados no tendrían conocimiento de que sus cuentas han sido comprometidas.

"El secuestro de cookie en WP otorga acceso por 3 años. No existe expiración de sesión para la cookie, incluso cuando un usuario termina la sesión", tuiteó Yan. Usando esta técnica, se pueden ver las estadísticas del blog, publicar y editar artículos en el blog comprometido y publicar en otros blogs desde el perfil de la víctima.

Sin embargo, un atacante "no puede hacer tareas de administración ya que requieren otro inicio de sesión con nombre de usuario y contraseña, pero aún así no está mal para una sola cookie", ella explicó.

La investigadora recomiendó a WordPress "establecer la bandera secure sobre cookies sensibles para que no se envíen en claro".

Las buenas noticias son que, si se es dueño de un sitio alojado en WP con soporte HTTPS, entonces ese blog no es vulnerable.