Un código de manipulación de imagen utilizado en muchos temas populares de WordPress se ha actualizado para abordar una vulnerabilidad de seguridad crítica.

El defecto fue informado la semana pasada por el director ejecutivo de Feedjit, Mark Maunder, después de que su blog personal fue hackeado y actualmente está siendo explotado en la naturaleza.

El código afectado se llama Timthumb y se utiliza principalmente para las operaciones de cambio de tamaño de imagen. Consiste de un único archivo PHP y puede obtener imágenes de servidores remotos.

La validación débil de los nombres de dominio de terceros en la lista blanca permitió a los atacantes insertar scripts de shell PHP en el directorio de caché y ejecutarlos.

Desde que descubrió el defecto, Maunder ha estado trabajando estrechamente con el fundador de WordPress, Matt Mullenweg, y el desarrollador principal de Timthumb, Ben Gillbanks, para abordar la cuestión.

Estos esfuerzos resultaron en la aparición de TimThumb 2.0, una nueva versión de la secuencia de comandos que incorpora varias mejoras y salvaguardias.

"El directorio de caché ahora es seguro y es todavía público para flexibilidad a través de plataformas. TimThumb crea archivos de índice en la memoria caché para evitar los listados de directorios.

"Los nombres de archivo son más aleatorios utilizando los datos a los cuales un hacker no tiene acceso, lo que hace que sea muy difícil adivinar los nombres de archivos de la memoria caché y acceder a ellos", explica Maunder.

Además, todos los archivos del caché ahora tienen la extensión .txt y, para mayor protección, también tienen una pieza de código PHP al principio que cierra el proceso si se ejecutan.

También se han mejorado las capacidades de manipulación de imagen. El código ahora puede tomar imágenes del sitio web y se pueden aplicar todos los filtros.

"Voy a trabajar con Ben a continuación para seguir tener un TimThumb que sea el más fácil de usar, más rápido, más popular y la miniatura de script más segura de la web", anuncia Maunder.

Los webmasters que utilizan ese código en sus temas deben descargar la última versión timthumb.php del repositorio del proyecto y reemplazar a aquella que está actualmente en sus equipos.