Una grave alerta de seguridad sacude el sector de los viajes online: más de 20.000 sitios web creados en WordPress y dedicados a reservas turísticas han sido afectados por vulnerabilidades críticas en uno de los plugins más populares. Descubre en esta noticia todos los detalles sobre los fallos detectados y las recomendaciones clave para los administradores de páginas web.
Según informes recientes, expertos en ciberseguridad han identificado dos vulnerabilidades críticas en WP Travel Engine, uno de los plugins más utilizados para gestionar reservas y paquetes de viajes en páginas WordPress.
Este plugin, instalado en más de 20.000 sitios web a nivel mundial, es un componente esencial para muchas agencias de viajes que ofrecen itinerarios personalizados y diferentes tipos de reservas a través de internet.
Sin embargo, las vulnerabilidades detectadas reciben una puntuación de 9,8 en la escala CVSS, considerada casi la máxima calificación para indicar el nivel de criticidad de una amenaza en ciberseguridad.
Estos fallos permiten que atacantes sin autenticación previa puedan obtener el control casi total de una página web afectada, facilitando así potenciales ataques y la filtración o destrucción de datos confidenciales.
Cómo pueden explotar los atacantes el fallo de Path Traversal
El primer problema de seguridad proviene de una inadecuada restricción de rutas de archivos en la función set_user_profile_image del plugin.
Según la fuente, debido a la falta de validación de rutas, un atacante sin credenciales puede renombrar o eliminar archivos del servidor a voluntad.
Esto implica riesgos importantes, como la posibilidad de eliminar archivos clave como wp-config.php, lo que podría deshabilitar la configuración de la web y favorecer un ataque de ejecución remota de código.
En manos maliciosas, esta vulnerabilidad podría dar lugar a la manipulación completa del sitio, instalación de archivos no autorizados o robo de información sensible de la web.
La amenaza por inclusión de archivos locales mediante el parámetro mode
El segundo fallo de seguridad se origina por un control insuficiente del parámetro mode, presente en el plugin WP Travel Engine.
Esto permite que un usuario sin autenticación pueda incluir y ejecutar archivos PHP arbitrarios en el servidor objetivo.
La consecuencia directa es que cualquier atacante puede ejecutar código malicioso y acceder a datos restringidos o dañar la integridad del sitio web.
De acuerdo con los expertos, ambos errores suponen un nivel de criticidad máximo al facilitar la ejecución de código no autorizado sin necesidad de credenciales de acceso.
Medidas urgentes: cómo proteger tu web de reservas
Las vulnerabilidades afectan a todas las versiones de WP Travel Engine hasta la 6.6.7 inclusive, según la nota de prensa consultada.
Por eso, los responsables de páginas web que utilicen este plugin deben actualizar de inmediato a la última versión disponible desde el repositorio oficial de WordPress o la web del desarrollador.
La actualización resulta imprescindible, pues los ataques pueden producirse sin autenticación, lo que incrementa significativamente el riesgo para las empresas del sector turístico.
Además, se recomienda siempre mantener copias de seguridad regulares e implementar niveles adicionales de seguridad en WordPress, como el uso de plugins de firewall, autenticación de dos factores y monitoreo de actividad sospechosa.
Enlaces y recursos relacionados para optimizar la seguridad
Para ampliar información sobre buenas prácticas en el desarrollo web y la gestión segura de plugins en WordPress puedes visitar la sección oficial de seguridad de WordPress.
Fuente: https://www.searchenginejournal.com/multiple-wordpress-vulnerabilities-affects-20000-travel-sites/558052/