9VSA20-00128-01 CSIRT comparte actualización para el plug-in de WordPress WPS Hide Login

Resumen

El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte la información referente a una vulnerabilidad detectada en el plug-in de WordPress WPS Hide Login, complemento popular utilizado para ocultar la página de inicio de sesión predeterminada de WordPress (wp-login.php).

Vulnerabilidad

En la función plugins_loaded, el complemento busca diferentes subcadenas en la variable de entorno REQUEST_URI utilizando la función strpos, y debido a que algunos REQUEST_URI no se decodifican con la función rawurldecode, un atacante podría codificar esas subcadenas en la URL para evadir la detección, provocando que complemento redirigiría al usuario a la página de inicio de sesión oculta.

Productos Afectados

WPS Hide Login, versión 1.5.4.2 o inferior.

Mitigación

Actualizar WPS Hide Login a la versión 1.5.5

Enlace

https://wpvulndb.com/vulnerabilities/10046/

WordPress WPS Hide Login fixed security issue.

Informe

El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA20-00128-01