WP Cerber Security 9.10

English version: WP Cerber Security 9.10

En esta versión, reforzamos la autenticación de dos factores contra intentos repetidos, corregimos una vulnerabilidad en la protección de datos de usuario de la API REST y mejoramos el manejo de datos no confiables en las pantallas de administración de WP Cerber. También corregimos la notificación de errores durante la exportación y eliminación de datos personales conforme al RGPD, de modo que los fallos en la base de datos del registro de actividad ya no se confundan con resultados vacíos.

Aspectos destacados

Mayor protección de autenticación de dos factores (2FA). WP Cerber ahora limita los intentos repetidos de 2FA y los intentos incorrectos de PIN por cuenta. Si se superan estos límites, se bloquean temporalmente los nuevos inicios de sesión y se alerta al titular de la cuenta.

Restricciones más consistentes para la API REST. La configuración que bloquea el acceso a los datos de usuario de WordPress ahora abarca variaciones adicionales de solicitudes gestionadas por WordPress.

Pantallas de administración más seguras. La mejora en el escape de salida soluciona una vulnerabilidad XSS almacenada que involucra datos no confiables mostrados en las pantallas de administración de WP Cerber.

Resultados precisos del RGPD. La exportación y eliminación de datos personales ahora informan errores de lectura del registro de actividad en lugar de indicar incorrectamente que se realizaron correctamente.

Cambios de seguridad

La autenticación de dos factores añade una importante capa de protección cuando la contraseña de una cuenta se ve comprometida. Esta actualización introduce límites por cuenta para los desafíos de autenticación de dos factores y los intentos incorrectos de PIN, lo que dificulta considerablemente los intentos repetidos de adivinar un PIN.

La protección actualizada incluye varios cambios:

Límites a nivel de cuenta. WP Cerber restringe la frecuencia con la que se pueden solicitar nuevos desafíos de autenticación de dos factores (2FA) y la cantidad de intentos de PIN incorrectos permitidos.

Bloqueo temporal de la cuenta. Cuando se superan los límites, WP Cerber bloquea los nuevos inicios de sesión en la cuenta afectada durante 24 horas y notifica al propietario de la cuenta sobre una posible vulneración de la contraseña.

Aplicación coherente. Las restricciones se aplican a todos los métodos de inicio de sesión compatibles, no solo al formulario de inicio de sesión estándar de WordPress.

Las sesiones existentes siguen siendo válidas. El bloqueo de una cuenta no interrumpe las sesiones que ya están autenticadas.

Gestión de errores más segura. Si se produce un error crítico de seguridad durante la verificación de la autenticación de dos factores (2FA), WP Cerber deniega el inicio de sesión en lugar de permitir que continúe sin 2FA.

Informes del registro de actividad. Los eventos de bloqueo de cuenta se registran en el registro de actividad, lo que ayuda a los administradores a investigar actividades de inicio de sesión sospechosas.

Cambiar la contraseña de una cuenta no elimina el bloqueo activo. Los administradores que hayan verificado que una cuenta es segura pueden restablecer el acceso antes mediante WP-CLI.

Esta es la primera fase de nuestro trabajo en estas medidas de seguridad. Se prevén mejoras adicionales en la gestión de la autenticación de dos factores (2FA).

Se ha mejorado la protección de los datos de usuario de la API REST.

La configuración "Bloquear el acceso a los datos de los usuarios a través de la API REST" ayuda a evitar el acceso público a la información de los usuarios de WordPress.

Identificamos y corregimos una inconsistencia entre la forma en que WP Cerber verificaba ciertas solicitudes de la API REST y cómo WordPress las procesaba. En determinadas condiciones, esto podía permitir que las solicitudes eludieran las restricciones previstas.

WP Cerber ahora aplica la protección de forma más consistente en todos los formatos de solicitud de API REST compatibles. También hemos mejorado la cobertura para las rutas de contraseña de aplicación relacionadas.

La configuración actual seguirá funcionando como antes, y las protecciones adicionales se aplicarán automáticamente al activarse. No se requieren cambios de configuración.

Protección mejorada contra XSS almacenado en pantallas de administración.

WP Cerber muestra información de fuentes externas en varias secciones de su interfaz de administración. Estos datos deben tratarse como no fiables, incluso cuando parezcan contener texto normal.

Hemos corregido la forma en que se procesan y muestran ciertos valores proporcionados externamente, solucionando así una vulnerabilidad de secuencias de comandos entre sitios (XSS) almacenada en las vistas de administración afectadas.

La actualización aplica un escape de salida adecuado para que los valores no confiables se muestren como texto en lugar de interpretarse como contenido ejecutable. Los cambios afectan a las pantallas relevantes del panel de control de WP Cerber y a las interfaces de Cerber.Hub.

Los valores previamente almacenados en caché se gestionan de forma segura tras la actualización. No se requieren cambios de configuración adicionales.

Experiencia administrativa

Etiqueta más clara para el evento de bloqueo de cuenta. El evento del registro de actividad «Cuenta bloqueada temporalmente» ahora dice «Cuenta bloqueada temporalmente». La redacción revisada describe un evento registrado en lugar de implicar que la cuenta sigue bloqueada.

Mejores diagnósticos en el resumen del usuario. WP Cerber ahora registra los fallos al recuperar los registros de último inicio de sesión y los detalles de activación de BuddyPress, lo que facilita la identificación de por qué falta cierta información en el resumen del usuario.

La exportación y eliminación conforme al RGPD ahora informan correctamente de los errores del registro de actividad.

Cuando fallaba una consulta a la base de datos del registro de actividad, WP Cerber podía interpretar el resultado como un registro vacío en lugar de un error de la base de datos. Durante la exportación y eliminación de datos personales conforme al RGPD, esto podía generar resultados erróneos.

Hemos actualizado la interfaz del registro de actividad para distinguir los fallos de la base de datos de los resultados vacíos legítimos.

La exportación de datos personales ahora informa sobre errores de lectura del registro de actividad en lugar de indicar incorrectamente que no se registró ninguna actividad o finalizar la exportación prematuramente.

El borrado de datos personales ya no informa de una finalización correcta cuando un error en la base de datos del registro de actividad impide que WP Cerber verifique que se hayan eliminado los registros pertinentes.

Para los propietarios de sitios web que gestionan solicitudes de privacidad, esta distinción es importante. Un resultado vacío y una consulta a la base de datos fallida no son lo mismo, y WP Cerber ahora los informa como tales.

Compatibilidad comprobada

Esta versión ha sido probada con PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 y 8.5.9, y con WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 y 7.1.

Corrección de errores

Se restauraron las etiquetas BLOQUEADO y PROHIBIDO en la página de Usuarios. Los cambios en el marcado de la columna de nombre de usuario en WordPress provocaron que nuestras reglas CSS dejaran de coincidir. Ahora, las etiquetas de estado y el resaltado en rojo de los nombres de usuario afectados se muestran correctamente de nuevo.

Las solicitudes a la API REST con formato incorrecto ya no provocan errores HTTP 500. WP Cerber ahora gestiona los formatos de parámetros inesperados de la API REST sin generar errores PHP no controlados. Estas solicitudes se envían a WordPress para su procesamiento normal, sin exponer los datos del usuario.