Easy WP SMTP para WordPress ha realizado una actualización de seguridad para corregir una vulnerabilidad de divulgación de datos sensibles.
Easy WP SMTP para WordPress es un popular plugin para esta herramienta para la gestión de contenidos que nos permite enviar los correos electrónicos generados por nuestra instalación a través de un servidor SMTP, previniendo de esta manera que los mensajes enviados puedan ser enviados a las bandejas de spam por no disponer de cabeceras de identificación.
El plugin general un archivo con los logs del mismo, al que se le asigna un nombre aleatorio, localizado dentro de una carpeta de éste, y el cual contiene todos los mails que han sido enviados. Sin embargo, la carpeta que contiene este archivo de logs no tiene una página index, permitiendo de esta manera que el archivo de logs pueda ser listado y accedido si no está configurado adecuadamente nuestro servidor para impedir esta acción. A través de este fichero de logs, un posible atacante podría obtener acceso a nuestra instalación reseteando la contraseña de administrador mediante el link que para ello se podría obtener desde este fichero.
La versión 1.4.3 de Easy WP SMTP contiene un archivo vacío llamado "index.html" para prevenir que se pueda listar o acceder a los archivos contenidos en la carpeta que contiene los logs del plugin. Dada la gravedad de esta vulnerabilidad, los usuarios de esta funcionalidad han sido avisadas para que actualicen inmediatamente, ya que la brecha de seguridad puede ser explotada de manera masiva. Si tenemos activada la funcionalidad de actualizaciones automáticas de plugins éste problema se habrá corregido automáticamente. Si no es así, debemos realizar dicha actualización inmediatamente de manera manual.
El problema ha sido identificado y comunicado en tiempo y forma, y se ha publicado una actualización que lo corrige. Pero nada de esto sirve si nosotros, administradores de un sitio web, no aplicamos dicha actualización. La mayoría de brechas se seguridad que ocurren se producen por una falta de mantenimiento de los mismos. No lo dejes para más tarde y protege tu herramienta y a tus usuarios, no te llevará más de unos pocos minutos.
Podemos encontrar toda la información el el sitio de WordPress Tavern.