Un popular plugin de WordPress, que permite a los propietarios del sitio personalizar fácilmente el formulario de contacto, tiene una vulnerabilidad crítica que puede ser explotada para descargar y modificar de forma remota la base de datos del sitio.

Permite obtener el acceso y control de la página, no es necesario autenticarse en el sitio para explotar el error.

El descubrimiento fue realizado por investigadores de la empresa de seguridad Sucuri, los desarrolladores de plugin Costum Contact Forms fueron notificados pero no se decidieron a corregir el agujero sino hasta después de que el equipo de WordPress Seguridad forzó el tema.

Todas las versiones del plugin, excepto la última (5.1.0.4) se ven afectadas. Se recomienda a los usuarios actualizar tan pronto como sea posible. Dada la falta de respuesta del equipo desarrollador del plugin, también es recomendación buscar otras opciones.

El formulario de contacto personalizado ha sido descargado más de 600 mil veces. Si sólo la mitad de estos usuarios lo utilizan activamente, es todavía un número considerable de sitios de WordPress vulnerables.

Los usuarios también deben actualizar sus instalaciones de WordPress y Drupal contra la vulnerabilidad recientemente descubierta que afecta al análisis del protocolo de Internet XML-RPC utilizado para la comunicación entre plataformas, puede ser mal utilizado para lanzar ataques de denegación de servicio.

Al trabajar juntos, los equipos de seguridad de WordPress y Drupal rápidamente han lanzado y actualizado un parche que resuelve el problema.

Investigadores de Incapsula señalaron que "la vulnerabilidad en todas las versiones de WordPress y Drupal afecta a más de 250 millones de sitios web, más o menos 23% de la población de sitios web de Internet hoy en día"[...]"Combinado con el alto potencial de daño, esto hace que el exploit sea una triple amenaza: generalizada, agobiante y difícil de eliminar."

Si, por alguna razón, no se puede actualizar la instalación de Drupal o WP, la amenaza puede ser mitigada mediante la eliminación del xmlrpc.php.