Área: Web y certificados
Librerías JavaScript
Librerías JavaScript (jQuery, Bootstrap, AngularJS…) con versión visible en el HTML de la portada y vulnerabilidades conocidas según una base local. No se descarga ningún script.
Qué puede encontrar
Abre cada uno para ver qué significa y cómo arreglarlo.
Librería JavaScript con vulnerabilidades conocidas
Qué significa
jquery es una librería de código gratuita que vuestra web parece usar para ofrecer funciones ya hechas. La versión que parece cargar vuestra portada tiene fallos de seguridad publicados. Ward lo deduce del nombre del archivo, sin probar ni descargar nada.
Qué te podría pasar
Un fallo en una librería puede permitir que alguien ejecute su propio código en el navegador de vuestros visitantes mientras están en vuestra web, por ejemplo para mostrar una caja de acceso falsa o capturar lo que escriben. El riesgo depende de cómo use la librería la web, y la etiqueta de versión puede equivocarse si alguien la corrigió a mano.
Cómo lo aprovecharía un atacante
Alguien añade un fragmento malicioso en un comentario o en un campo de formulario de vuestra web. Como la librería antigua lo trata sin cuidado, se ejecuta en el navegador del siguiente visitante, muestra una caja de «sesión caducada» falsa y captura la contraseña que escribe.
Cómo arreglarlo
- Haced una copia de seguridad de la web o pedídsela a vuestro hosting.
- Pedid a quien mantiene la web que actualice jquery a la última versión.La librería suele venir con el tema o con un plugin, así que actualizarlos, o el gestor de contenidos, suele ser la forma de actualizarla.
- Si un tema o plugin lleva una copia antigua, pedid una actualización a su creador o buscad una alternativa.
- Probad la web después, sobre todo menús, formularios y carruseles, que suelen usar estas librerías.
Cómo comprobar que está arreglado
Ward vuelve a leer la versión de jquery en vuestra portada. Marcad el hallazgo como «Pendiente de verificar» y Ward lo volverá a comprobar en uno o dos minutos. Cuando el problema haya desaparecido, pasará a «Resuelto» solo.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
Librería JavaScript sin soporte
Qué significa
angularjs es una librería de código que vuestra portada parece usar, y sus creadores ya no mantienen esa versión. Ward lo deduce del nombre del archivo que carga vuestra portada.
Qué te podría pasar
Cualquier fallo que se descubra a partir de ahora se quedará sin corregir, así que la librería se convierte en un punto débil creciente. Hoy no hay nada roto, por eso es más un asunto de planificación que una urgencia.
Cómo lo aprovecharía un atacante
Se encuentra un fallo nuevo en la librería antigua y se publica. Como nadie lo corrige, todas las webs que aún la usan siguen expuestas y los programas automáticos empiezan a buscarlas. La vuestra está en la lista mientras siga cargándola.
Cómo arreglarlo
- Preguntad a quien mantiene la web de dónde viene angularjs: de vuestras propias páginas, del tema o de un plugin.
- Planificad el paso a una versión con soporte o a una alternativa.
- Actualizad o sustituid el tema o plugin que lleva la copia antigua, si viene de ahí.
- Mientras tanto, mantened el resto de la web actualizado y evitad mostrar contenido de terceros sin filtrar.
Cómo comprobar que está arreglado
Ward vuelve a leer la versión de angularjs en vuestra portada. Marcad el hallazgo como «Pendiente de verificar» y Ward lo volverá a comprobar en uno o dos minutos. Cuando el problema haya desaparecido, pasará a «Resuelto» solo.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.