Traducido del artículo: “Rich Reviews Plugin Discontinued after Vulnerabilities Exploited in the Wild” de:

Sarah Gooding, septiembre 27 de 2019

Después de rastrear las debilidades de una vulnerabilidad XSS de día cero en el complemento Rich Reviews para WordPress, Wordfence recomienda que los usuarios lo eliminen de sus sitios web. La compañía estima que hay 16,000 instalaciones activas vulnerables a actualizaciones de opciones de complementos no autenticadas:

Los atacantes están abusando de esta cadena de exploits para inyectar código de publicidad maliciosa en los sitios web de destino. El código de publicidad maliciosa crea redirecciones y anuncios emergentes. Nuestro equipo ha estado siguiendo esta campaña de ataque desde abril de este año.
Rich Reviews se eliminó del Directorio de complementos de WordPress.org el 11 de marzo de 2019 debido a un problema de seguridad.
Hace una semana, un usuario del complemento Rich Reviews informó que 3 de cada 4 de sus sitios que usaban el complemento estaban infectados con scripts de redireccionamiento y que eliminar el complemento solucionó el problema. En la agencia de marketing digital llamada Nuanced Media, el autor del complemento, respondió a la publicación indicando que se lanzaría una nueva versión dentro de dos semanas:

Hemos estado trabajando en una reescritura general de este complemento por un tiempo, pero aparentemente alguien por ahí quería que trabajáramos más rápido y decidimos explotar nuestro complemento para sacar algo de malware. Ahora lo haremos doblemente rápido y esperamos tener una copia de seguridad (así como acogedor y seguro) en las próximas dos semanas.

Curiosamente, parece que no hay prisa por solucionar el problema que se está explotando actualmente. Ayer, menos de una semana después de asegurar a los usuarios que se lanzará una nueva versión, la compañía detrás del complemento anunció que suspenderá el soporte activo y el desarrollo de Rich Reviews.

El CEO de Nuanced Media, Ryan Flannagan, citó los cambios recientes de Google en sus pautas de revisión comercial como la razón para suspender su desarrollo.

“Como parte de esta actualización, en los resultados de búsqueda orgánica, Google ha decidido eliminar todas las calificaciones de estrellas de reseñas comerciales que las empresas muestran en su propia URL”, dijo Flannagan.

“En base a esta información, hemos descontinuado todo el desarrollo activo y el soporte en Rich Reviews. Nos disculpamos por cualquier inconveniente.”

El anuncio no incluye ninguna información sobre la vulnerabilidad o las vulnerabilidades recientes. Los usuarios deben asumir que no llega ningún parche al complemento, ya que se ha descontinuado oficialmente. Ya no está disponible para nuevos usuarios potenciales en WordPress.org, pero aquellos que tienen Rich Reviews activos en sus sitios deben desactivarlo y eliminar el complemento lo antes posible para evitar ser pirateado.

¿Le gustaría escribir para WP Tavern? Siempre estamos aceptando publicaciones de invitados de la comunidad y estamos buscando nuevos colaboradores. Póngase en contacto con nosotros y discutamos sus ideas.

Quién es Sara Gooding

Sarah Gooding es una editora Ninja en Audrey Capital. Cuando no escribe sobre WordPress, le gusta hornear, tejer, juzgar competencias de cerveza y pasar tiempo con su galgo italiano.