Cross Site Scripting (XSS) en WordPress

Nota: Este post ha sido escrito luego de reportar los fallos al equipo de desarrollo de WordPress.

Hoy acabo de reportar dos fallos de seguridad en WordPress que permiten realizar XSS a sitios que utilizen WordPress como plataforma para sus blogs.

El primer bug, que necesita la intervención de un usuario o administrador del blog, consiste en enviar una URL -especialmente preparada para evadir los filtros- a través del formulario de comentarios.

El segundo bug tiene que ver con los plugins, si bien es cierto que éstos pueden hacer prácticamente cualquier cosa una vez activados, existe la posibilidad de que un plugin -no activado- con una simple modificación de su metadata (nombre, autor, url, etc) pueda insertar HTML o javascript en la página destinada a listar/activar/desactivar los plugins.

El segundo bug, fue corregido en la versión de desarrollo.

Si bien es cierto que estos bugs no son muy graves y dependen más que todo del cuidado que tengamos nosotros, no está de más corregir estos errores en el código de WordPress para evitar problemas posteriores.

Nota 1: Si todavía no han parchado el bug que hace unos días comentaba Armonth, háganlo cuanto antes que ya se liberó un exploit que utiliza CSRF para hacer efectivo el ataque.