Los lectores habituales de Daboweb y otros blogs dedicados a estas cuestiones, ya estaréis al tanto del bug que afectaba a temas y plugins de WordPress con versiones de “Timthumb” vulnerables. Esta herramienta tan utilizada, hace posible la redimensión de imágenes en WP y se reportó una vulnerabilidad que permitía subir cualquier fichero PHP al directorio “cache” de Timthumb, pudiendo ejecutar código y comprometiendo al sitio web afectado.

Hecha esta aclaración, nos hacemos eco de una noticia publicada hoy en “SC Magazine” (ENG), en la que se dan datos acerca de los miles de blogs afectados hasta la fecha, además de recordar que desde hace meses hay una versión de Timthumb corregida.

Como se puede ver, nuevos problemas en viejas vulnerabilidades. Esta es seria y fácil de solventar, os recomendamos revisar vuestras instalaciones de WordPress y reemplazar versiones vulnerables del script caso de haberlas, por otra actualizada (guardadlo en texto plano y renombrarlo como timthumb.php).

Compartir

Según ha reconocido hace unos minutos Matt Mullenweg (ENG) y ante la sospecha de que plugins como AddThis, WPtouch y W3 Total Cache puedan contener una puerta trasera, con el correspondiente riesgo que conlleva, además de cerrar el acceso al repositorio de plugins mientras según sus propias palabras “buscan algo más desagradable”, desde WordPress.org han decidido forzar a restablecer las contraseñas de acceso a servicios como sus foros, el trac, bbPress.org o BuddyPress.org.

Lógicamente, se recomienda no usar el password anterior ni tener el mismo en distintos servicios de WordPress. También se recomienda comprobar si  AddThis, WPtouch y W3 Total Cache corren con sus últimas versiones y en su defecto actualizar a la mayor brevedad posible.

Desde Daboweb os recomendamos encarecidamente acelerar estos procesos si usas esos servicios, ya que aún están buscando y sin querer caer en un alarmismo del que nunca hemos hecho gala, no está de más ante la duda cambiar también vuestros passwords de usuario en WordPress.com.

Compartir

Nueva actualización de seguridad para WordPress, la nueva versión 3.1.3 que mejora la seguridad con aportaciones de Alexander Concha (buayacorp).

Incluye diferentes mejoras y soluciona problemas de seguridad que podemos ver en el changelog. Además se ha anunciado también el lanzamiento del segunda beta de WordPress 3.2, una versión de pruebas que no debemos poner en un sitio en producción.

Como toda actualización de seguridad es importante y muy conveniente actualizar a la mayor brevedad posible.

Entre las mejoras no explicadas detalladamente en el anuncio oficial tenemos las siguientes:

• La vulnerabilidad SA44409 fue corregida por el changeset 18014. Esto autorizaba a subir archivos que permitían la ejecución de código php, siempre y cuando la configuración de Apache permita aceptar múltiples extensiones. Esto es una variante de un falla anterior.
• El changeset 18018 corrige uno de los varios problemas que reporté, en principio permitía al igual que el anterior, la ejecución de código php, con la diferencia de que no es necesario ningún tipo de configuración en especial. Tal vez dentro de un tiempo llegue a publicar el exploit que hice. También corrige fallas que permitían realizar ataques XSS.
• El changeset 18019 corrige problemas que permiten realizar ataques XSS.
• El changeset 18023 está relacionado con un problema relacionado a la privacidad de los backups de wordpress.

Vía: buayacorp.

Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

Noticia en WordPress.org | Descarga.

Compartir

Primera actualización disponible para la versión 3.1 de WordPress. Esta actualización corrige varios problemas de seguridad, 4 de prioridad alta, 20 de prioridad normal y 2 de prioridad baja.

Además corrige 3 problemas de seguridad detectados por dos de los principales de desarrollo de WordPress, concretamente del equipo de seguridad que afectan a una vulnerabilidad XSS, un problema relacionado con los enlaces publicados en comentarios directamente relacionado con PHP y un problema CSRF.

Entre las mejoras aportadas encontramos las siguientes:

• Mejora la seguridad en la carga de imágenes
• Mejoras de rendimiento
• Mejora el soporte de  IIS6
• Soluciona los enlaces de taxonomías y PATHINFO (/index.php/), enlaces permanentes (permalinks).
• Soluciona varios problemas en que consultas a la base de datos y taxonomías podrían provocar problemas de compatibilidad con plugins.

Imprescindible actualizar. Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

Noticia en WordPress.org | Descarga.

Compartir

Después de una larga y seguro que merecida espera llega por fín la actualización a la versión 3.1 de WordPress cargadita de novedades, son tantas y tan variadas que casi pareciese que tendremos que aprender de nuevo a utilizar el sistema.

La lista completa puede verse en el Codex de Worpress. Aquí os dejo una lista de las principales, publicadas por Fernando de Ayudawordpress en el blog oficial en español y para no perder las buenas costumbres la guía para actualizar.

• Enlaces internos – con un clic en el nuevo botón para enlaces internos podrás buscar una entrada o revisar el contenido existente para enlazarlo.
• Barra de admin – contiene varios enlaces para acceder a diversas pantallas de administración. Por defecto, la barra de admin se muestra cuando un usuario ha accedido y está visitando el sitio, y no se muestra en las pantallas de administración en las instalaciones simples (sin multisitio activado). Para las instalaciones con multisitio se muestra tanto cuando estás visitando el sitio como en las pantallas de administración
• Mejoras en la interfaz de escritura – Los nuevos usuarios de WordPress encontrarán la pantalla de escritura mucho más limpia que antes, con la mayoría de las opciones ocultas por defecto. (puedes hacer clic en Opciones de pantalla de la parte superior para volverlas a mostrar)
• Formatos de entrada – La información de los formatos pueden usarla los temas para personalizar la presentación de una entrada. Tienes más información en  Formatos de entrada (en inglés todavía).
• Administrador de la red – Se han movido los menús del Super administrador y las páginas relacionadas de la pantalla de admin habitual a la nueva Pantalla de administrador de la red.
• Pantallas de administración en modo de lista – puedes ordenar las columnas de las pantallas con listados (páginas, entradas, comentarios, etc) para mejorar la paginación.
• Mejoras del exportador/importador – Hay muchos cambios en la información del autor, mejora en el manejo de taxonomías y términos, soporte correcto de menús de navegación, etc.
• Mejoras en el tipo de contenido personalizado – Permite a los desarrolladores crear páginas de archivo y disponer de más controles de las capacidades y mejores menús. Aprende más en Tipos de entrada (en inglés todavía).
• Consultas avanzadas – Permite a los desarrolladores realizar consultas múltiples de taxonomías y campos personalizados.
• Un esquema de color azul para la administración más fresco que centra la atención en tu contenido.

Imprescindible actualizar. Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

Noticia en WordPress.org | Descarga.

Compartir

Disponible una nueva actualización de WordPress, la 3.0.5, considerada de seguridad y recomendada para actualizar todas las versiones precedentes.

Es especialmente necesaria la actualización en aquellas instalaciones que tengan usuarios que no sean de confianza, uno de los errores corregidos de seguridad moderada permite precisamente a un usuario con nivel de Autor o Colaborador hacer una escalada de privilegios.

Otra de las correcciones afecta también a los usuarios con privilegios de Autor de tal modo que podrían acceder a contenido para el que en principio no estaban autorizados como borradores o entradas privadas.

Recomendable actualizar. Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

En la misma noticia anuncian también la salida de la 4 RC de WordPress 3.1, recordamos que las RC (Release Candidate o versiones candidatas) no están aconsejadas para utilizar en sitios en producción ya que al no ser versiones definitivas pueden contener errores graves y de difícil solución.

Noticia en WordPress.org | Descarga.

Compartir

Se ha liberado una nueva versión de WordPress, la 3.0.4 que soluciona un problema de seguridad con la librería de saneamiento de HTML que se encuentra en /wp-includes/kses.php (más info)

Es una vulnerabilidad calificada como crítica del tipo XSS y se recomienda la actualización del sitio a la mayor brevedad posible por cualquiera de los métodos habituales.

Los siguientes archivos han sido revisados en la nueva versión:

wp-includes/version.php
wp-includes/formatting.php
wp-includes/kses.php
readme.html
wp-admin/includes/update-core.php

Muy recomendable actualizar (imprescindible más bien). Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

Noticia en WordPress.org | Descarga.

Compartir

Se ha liberado una nueva versión de WordPress, la 3.0.3 que soluciona un problema de seguridad con la publicación remota.

Este problema solo afecta a aquellos usuarios que tengan esta función activada, la cual se puede comprobar en Opciones de Escritura, el fallo afecta a todas las versiones anteriores y es más que recomendable la actualización.

Recomendable actualizar. Y como siempre, el Dabo-how-to de actualización de WP.

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos). Del mismo modo se puede actualizar automáticamente desde el Tablero pero sigue siendo recomendable una copia de seguridad previa a la actualización.

Noticia en WordPress.org | Descarga.

Compartir