Una grave vulnerabilidad de seguridad
han sido probados por expertos en el plugin de WordPress que se supone que apoya el cumplimiento del nuevo GDPR. Esto permite, por ejemplo, la creación no autorizada de cuentas de administrador. Numerosos usuarios de WordPress han informado recientemente de este problema.
El plugin se llama WP GDPR Compliance y está diseñado para apoyar el cumplimiento del nuevo GDPR de la UE. Ya se ha instalado más de 100.000 veces con este fin. A principios de noviembre, se multiplicaron los informes en los blogs pertinentes sobre sucesos extraños relacionados con el plugin de WordPress.
El plugin se ha instalado y activado varias veces
Una observación frecuente de las partes afectadas fue la repetida instalación y activación de WP GDPR compliance sin ninguna acción por parte del operador del sitio web. Un proceso de este tipo sugiere inmediatamente un acceso no autorizado por parte de un usuario externo, motivo por el cual los usuarios se alarmaron y denunciaron el incidente en muchos casos.
El equipo del plugin reaccionó rápidamente
Apenas un día después, el equipo de revisión del plugin publicó la versión 1.4.3. Le recomendamos encarecidamente que actualice a la versión 1.4.3 si desea utilizar el plugin de WordPress. También es esencial comprobar si ya se ha creado una nueva cuenta de usuario o, en otras palabras, si ya se ha aprovechado la brecha.
Causa identificada por el usuario
Fue un usuario quien identificó el plugin GDPR de WordPress como la causa de los inusuales problemas a través de una prueba. El 6 de noviembre de 2018, los administradores reaccionaron y eliminaron el plugin del directorio del sistema de gestión de contenidos. Los usuarios fueron informados de este paso en un hilo de soporte.
Se está comprobando la actualización forzada
La seguridad garantizada sólo estaría asegurada para todos los usuarios si fuera necesaria una actualización forzosa para que el plugin GDPR siguiera funcionando en el futuro. Según el hilo de soporte, ya existe un intercambio entre el equipo del directorio de plugins y los autores de los plugins. Examinaremos conjuntamente si puede realizarse una actualización forzada en este contexto. Encontrará más información en el blog del sitio web del plugin.