Blog

He recibido hace un rato varios emails de notificación de seguridad de ManageWP diciéndome que había un plugin vulnerable en varias (en casi todas) de mis webs, concretamente en Contact Form 7. No es una vulnerabilidad grave, pero siendo el plugin con más descargas del respositorio creo que merece la pena dedicarle unos minutos.

La vulnerabilidad en cuestión es register_post_type() Privilege Escalation. Esto significa que un usuario con nivel «Contributor» podría editar los formularios de Contact Form 7, cosa que no debería ser capaz de hacer normalmente.

A privilege escalation vulnerability has been found in Contact Form 7 5.0.3 and older versions. Utilizing this vulnerability, a logged-in user in the Contributor role can potentially edit contact forms, which only Administrator and Editor-role users are allowed to access by default. This issue has been reported by Simon Scannell from RIPS Technologies.

Y el texto sigue.

To minimize damage from possible attacks utilizing those vulnerabilities, Contact Form 7 5.0.4 and higher will restrict the local file attachment feature. More particularly, you will no longer be able to specify an absolute file path that refers to a file placed outside the wp-content directory. You can still specify files inside the wp-content directory with relative or absolute file paths, so all you need to change is the location of the attachment files.

Aquí nos está advirtiendo de que como parte de la solución a esta vulnerabilidad a la hora de añadir un adjunto, ya no va a ser posible especificar una ruta absoluta fuera de la carpeta wp-content.

Ojo con esto porque, si en los emails que generáis a partir de Contact Form 7 añadíais archivos adjuntos mediante una ruta absoluta fuera de wp-content, esto ya no va a funcionar después de actualizar a la última versión (la 5.0.4)

Aparte de esto no tiene mayor importancia, podéis actualizar el plugin sin problema. Eso sí acordaos -como siempre- de hacer una copia de seguridad de los archivos de la base de datos antes.