Jetpack 3.4.3 contiene una actualización de seguridad crítica y deberías actualizar tus sitios y cualquier otro sitio que ayudes a gestionar lo antes posible.
Contexto
Sucuri nos informó de un problema por el que varios plugins destacados de WordPress generaban URL con un escape incorrecto, entre ellos Jetpack y Yoast. Hemos trabajado con el equipo de seguridad de WordPress para coordinar una versión que se está distribuyendo a todos los usuarios. Cuando publicamos esta entrada (a las 18:00 GMT del 20 de abril de 2015), si no has desactivado las actualizaciones automáticas, tus sitios se actualizarán automáticamente.
La vulnerabilidad
La vulnerabilidad que descubrió Sucuri permitiría a un atacante enviar a un usuario de WordPress con derechos de administración un enlace que podría ejecutar JavaScript malicioso. La vulnerabilidad se introdujo en Jetpack 3.0 y hasta la fecha no tenemos pruebas de que se haya explotado. Sin embargo, ahora que esta actualización es pública, es más probable que se produzcan ataques. Para evitar una intrusión, deberías actualizar tu sitio lo antes posible.
Cómo actualizar
Hemos preparado y distribuido actualizaciones para todas las versiones afectadas de Jetpack. Si no las has desactivado, tus sitios deberían actualizarse automáticamente – comprueba tus sitios para confirmar que el plugin Jetpack se ha actualizado correctamente a una de estas versiones: 3.0.3, 3.1.2, 3.2.2, 3.3.3 o 3.4.3.
Si no es así, visita la página de Plugins de tu escritorio y actualiza Jetpack desde allí, o actualiza todos tus sitios en bloque desde wordpress.com/plugins/jetpack.
Nota: no todos los plugins afectados por este problema se actualizarán automáticamente; algunos publicarán las actualizaciones por separado. Por eso, te recomendamos encarecidamente que te asegures de que todos tus plugins están actualizados, ya que se publicarán actualizaciones durante los próximos días.
También recomendamos actualizar a la versión más reciente cualquier otro plugin que tengas instalado; no todos los plugins se actualizarán automáticamente (como Jetpack)
Comentarios
Como siempre, agradecemos enormemente que sigas usando y apoyando Jetpack, y lamentamos sinceramente las molestias que esto haya ocasionado.
Nos tomamos muy en serio la seguridad de tus sitios, así que no dudes en ponerte en contacto con nuestro equipo de asistencia, crear un nuevo tema en el foro, o dejar un comentario en esta entrada del blog si tienes alguna duda o problema al actualizar.
También queremos transmitir nuestro más sincero agradecimiento al equipo de seguridad de WordPress que trabajó sin descanso —atravesando husos horarios y colaborando con varios equipos de plugins— para coordinar la versión de hoy.
Jetpack 