En muchos paquetes de software, es normal encontrar vulnerabilidades que son llamadas características por los propios autores.

Tal es el caso, que aspectos que quizás dan una comodidad al usuario (por ejemplo, en antiguos Windows, el ejecutar procesos sin privilegios de Administrador), presentan una falla potencial en dos sentidos, podría ser aprovechada por cualquiera, y segundo, al estar presente como una característica, su uso puede no estar registrado/controlado y el mismo es fácil de lograr (a fin de cuentas, es una característica más …).

En este caso, voy a presentar una vulnerabilidad-característica, que está presente en WordPress (todas las versiones, la última incluída), la cual reside en el sistema de comentarios.

Prueba de Concepto

Supongamos que Pepito, con su correo pepito@gmail.com, decide enviar un comentario a TechTear, y registra sus datos tal como los mencionamos recién.

Nombre: Pepito
Correo: pepito@gmail.com
Web: http://www.techtear.com
Mensaje: Estamos fritos…

El sistema de WordPress (en caso de que al menos un mensaje enviado sea aceptado por los moderadores), permitirá que de ahora en más si alguien con el nombre Pepito de correo pepito@gmail.com, envía un mensaje (sea el mismo Pepe, o su amigo Manolo), este sea automáticamente aceptado por el sistema, y por ende publicado.

Esta funcionalidad responde a la comodidad de los moderadores de comentarios para el momento de aceptar/denegar los mismos, y para que la persona que escribe, no tenga que registrarse y pueda enviar comentarios de rápida aceptación (sin moderación previa).

Solo funciona si la pareja de datos viene perfecta, es decir Nombre Completo y correo utilizado exacto, no importa la URL ni el mensaje que se escriba.

Desconozco realmente si esta opción se puede deshabilitar, y en caso de poderse, sugiero que se haga.

Posibles usos

  • Suplantar identidad de personas dueñas del Blog.
  • Ingresar código malicioso (y en el caso de suplantar identidad del Admin, resaltar dicho código) que afecte al visitante (y no al sitio en sí).
  • SPAM

Posible soluciones

  • Activar comentarios solo para usuarios registrados
  • Cambios estructural de WordPress: que al momento de ingresar el comentario, se le pida al Nombre una keyword (que sería usada en cada momento que quisiera postear sin loguearse). La misma no sería una clave propiamente dicha, sino un identificador válido no conocido por otros. Se entiende que el correo y el nombre de la persona, es fácilmente conseguido.
  • Modificar WordPress para moderar TODOS los comentarios, incluso personas registradas.