Los investigadores de seguridad de Check Point, han descubierto una vulnerabilidad en los plugins de Wordpress más utilizados para desarrollar plataformas de formación online conocidos como LearnPress, LearnDash y LifterLMS. Este fallo de seguridad permite a cualquier persona obtener privilegios de profesor y, de esta forma, robar información personal o incluso obtener beneficios económicos
El brote de coronavirus impide a millones de alumnos de todo el mundo seguir su formación académica con normalidad. Por este motivo, las principales instituciones de enseñanza (entre las que se incluyen las Universidades de Florida, Michigan o Washington, entre otras) y empresas de Fortune 500 confían en los sistemas de formación para impartir clases virtuales sin que los estudiantes o empleados entren en un aula física. Este tipo de sistemas permiten almacenar una gran cantidad de información educativa, por lo que se utilizan fundamentalmente para crear clases (temarios) virtuales, compartir trabajos, evaluar a los estudiantes, etc. Además, son muy fáciles de usar, ya que para acceder a estos recursos formativos online tan sólo se necesita un nombre de usuario y una contraseña.
“El coronavirus ha hecho que la población tenga que realizar todas sus actividades desde casa, incluyendo la formación. Por este motivo, las principales instituciones educativas, así como muchas academias, confían en los sistemas para continuar con su actividad de forma virtual. Sin embargo, los estudiantes y empleados que acceden a estas plataformas de eLearning probablemente no saben lo peligroso que puede ser”, señala Omri Herscovici, jefe de equipo de investigación de vulnerabilidades de Check Point.“Con la investigación que hemos llevado a cabo hemos descubierto vulnerabilidades que permiten a los cibercriminales tomar el control de estas plataformas con suma facilidad y, como consecuencia, poder acceder a información sensible. Por este motivo, desde Check Point aconsejamos a todas aquellas instituciones académicas que cuenten con este tipo de plataformas para actualizar el software y contar con la última versión disponible”, añade Herscovici.
¿Cuáles son los plugins de WordPress afectados por esta vulnerabilidad?
Los expertos de Check Point han encontrado fallos de seguridad en LearnPress, LearnDash y LifterLMS. Cualquiera de estos tres plugins, presentes en aproximadamente 100.000 plataformas educativas diferentes, puede transformar cualquier sitio web de WordPress en un sistema de gestión de formación completamente funcional y fácil de usar. Los tres plugins afectados por esta vulnerabilidad son:
- LearnPress: es uno de los sistemas de gestión más populares del sector. Este plugin permite generar cursos y lecciones a medida con pruebas de nivel que permiten a los estudiantes ir avanzando niveles en el plan de estudios. Se utiliza en más de 21.000 escuelas y está instalado en más de 80.000 dispositivos.
- LearnDash: este plugin proporciona las herramientas necesarias para suministrar contenido, comercializar cursos, recompensar a los alumnos o poner en marcha actividades. Más de 33.000 sitios web utilizan LearnDash, incluyendo muchas empresas de la lista Fortune 500, así como las Universidades de Florida, Michigan y Washington.
- LifterLMS: proporciona ejemplos de cursos y test de nivel, así como certificados y una página web totalmente configurada. Más de 17.000 sitios web utilizan este plugin, incluyendo agencias de WordPress y educadores, junto con varias escuelas y diversas instituciones educativas.
