2017-09-20

Actualización de Seguridad en #WordPress 4.8.2

El equipo encargado del desarrollo de WordPress, publicó un nuevo parche de Seguridad crítico para la versión 4.8.2

Figura 1: Actualización de Seguridad WordPress 4.8.2

Se corrigieron 6 errores encontradas en las versiones anteriores y 9 fallos de seguridad principalmente de tipo XSS.

Para conocer como adoptar nuevos hábitos de seguridad y poder llevar a otro nivel la fortificación de sus proyectos en WordPress, junto a los chicos de la editorial 0xWORD publicamos "Máxima Seguridad en WordPress".

Figura 2: Máxima Seguridad en WordPress

Saludos!

Enlace | WordPress 4.8.2 Security and Maintenance Release

2017-08-07

Esoteric Web Application Vulnerabilities 2.0 por @w3af

Hoy quería aprovechar para compartir el último Webinar de los chicos de Ekoparty 2017 de la mano de Andrés Riancho @w3af 

Figura 1: Ekoparty 2017

Este webinar muestra un conjunto de extrañas y esotéricas vulnerabilidades en aplicaciones Web que han sido detectadas durante los análisis de seguridad realizados por Andrés.

La charla tiene el mismo formato que "Esoteric Web Application Vulnerabilities" donde se presentan diversas vulnerabilidades en aplicaciones Web, mostrando código vulnerable y como reparar el mismo.

Algunos de los temas a tocar serán: Insecure Crypto, CORS Origin Match, Faking online payments .

No se pierdan de este excelente Webinar!


Andrés Riancho @w3af es experto en seguridad en aplicaciones Web. Actualmente lidera el proyecto de código abierto w3af y provee servicios de análisis de seguridad.

En el ámbito de la investigación ha identificado numerosas vulnerabilidades en sistemas de detección de intrusos de 3com e ISS, y múltiples en aplicaciones Web. Contribuyó con la investigación sobre seguridad en SAP en su empleo anterior y ha desarrollado w3af, Web Application Attack and Audit Framework, una herramienta utilizada extensamente por penetration testers y consultores de todo el mundo. También ha sido invitado a conferencias como BlackHat, PHDays, SecTor, CONFidence, OWASP AppSec, CanSecWest, Ekoparty y T2.

Saludos!

2017-07-30

Google Hack: Buscando Logs en el Plugins File Manager de #WordPress

¿Como podemos evitar exponer más información de la que realmente necesitamos mostrar en un proyecto web? Esta tarea es sin duda un trabajo muy fino que deberíamos aplicar a cada sitio y la verdad que no es para nada simple.

Figura 1: Buscando Logs en el Plugin File Manager de #WordPress

El mínimo punto de exposición, es uno de los principios del Hardening para mejorar la seguridad de cualquier aplicación, y es el punto de inicio de ese proceso.

Hoy les quería mostrar un pequeño Google Hack que encontré hace un par de días y que ya se encuentra publicado en Exploit-db, en donde el Plugin File Manager de WordPress exponer un archivo Log bastante interesante.

inurl:"wp-content/uploads/file-manager/log.txt"

Figura 2: Google Hack


Pese a que esta búsqueda en Google es bastante general y es posible encontrar casi 500 posibles webs expuesta, la plataforma de Plugins de WordPress indica que existen más de 50.000 instancias activas y que potencialmente podrían ser comprometidas.

Figura 3: Resultado de log.txt

Ya sea en un plugin de WordPress, Joomla! o cualquier CMS. No olviden que antes de exponer un sistema o una web a Internet, tomen el tiempo de realizar un análisis exhaustivo de todos y cada uno de los componentes que incorporan y seguir los procesos de auditorías.

Saludos!

Entradas populares