WordPress 4.2.2 corrige dos fallas críticas de XSS y fortalece defensas de una tercera.

Una nueva versión de WordPress fue lanzada el jueves, corrigiendo dos vulnerabilidades críticas de cross-site scripting (XSS) que podría permitir a atacantes comprometer sitios web.

Una de las fallas fue localizada en el paquete de iconos de fuente Genericons; utilizado por varios temas populares y plugins, incluyendo el tema predeterminado TwentyFifteen de WordPress.

Investigadores de la empresa de seguridad web Sucuri advirtieron el miércoles que ya se han visto ataques contra esta vulnerabilidad XSS.

Para explotarla, los atacantes necesitan engañar a los usuarios para que hagan clic en enlaces específicamente diseñados, pero una vez que lo hacen, pueden aprovechar la falla para robar las cookies de autenticación. Si la víctima es un administrador web, los cibercriminales podrían ganar control total sobre su sitio.

La vulnerabilidad puede ser mitigada al eliminar el archivo example.html que es parte del paquete Genericons o mediante la actualización de la nueva versión WordPress 4.2.2.

"Todos los temas y plugins afectados alojados en WordPress.org (incluyendo el tema por defecto TwentyFifteen) fueron actualizados por el equipo de seguridad de WordPress mediante la eliminación de este archivo no esencial," aseguran desarrolladores de WordPress en el anuncio de la versión.

Una vez instalado, WordPress 4.2.2. escanea el directorio del sitio web buscando el archivo HTML vulnerable y elimina todas las instancias de la misma.

Además, la nueva versión actualiza una segunda falla crítica cross-site scripting que, de acuerdo con los desarrolladores de WordPress, podría permitir a los usuarios anónimos comprometer un sitio. También refuerza las defensas de un posible problema de XSS en el editor visual.