Seguridad en los gestores de Contenido

[ari0k0]

Siempre es interesante estar informado de que gestores de contenido pueden ser más o menos vulnerables, sobretodo si alguna vez tenemos que implantar alguno en algún cliente o en la propia empresa. Es por ello, que se hizo un pequeño estudio en SecurityByDefault con los datos de estos últimos años (desde el 2007 al 2009), de los 4 gestores de contenido más populares (recordar que hay muchas alternativas en cuanto a CMS). Los gestores de contenido analizados son Movable Type, Joomla, Wordpress y Drupal. En general, los 4 CMS hacen bien sus deberes en cuanto a seguridad, lo cual es importante...

Las conclusiones de la comparativa son (gráficas y demás, disponible en el enlace de la comparativa):

Las conclusiones y clasificación que yo obtengo de este análisis son las siguientes:

1. Movable Type es sin duda el gestor con el menor número de vulnerabilidades y menos críticas, si bien es cierto que su uso es extendido no existen tantos módulos como para sus competidores y esto le está ahorrando sustos.
2. Joomla! es un gestor potente sin apenas vulnerabilidades, pero ampliamente modulable y con problemas muy importantes en esta parte. El mantenimiento de este producto requerirá mucho esfuerzo y estar suscritos no solo a las alertas de seguridad del propio fabricante, si no la de todos los módulos que se usen.
3. Wordpress tras el paso del 2007 ha mejorado su seguridad de forma muy significativa, aunque en el 2008 se reportó una vulnerabilidad alta en este año 2009 es el único del que no se ha reportado ninguna vulnerabilidad.
4. Drupal no presenta ninguna vulnerabilidad crítica o alta desde el 2007, consolidándose como un producto seguro. Es modulable y existen muchos paquetes disponibles y al igual que en Joomla, peligrosos, por lo que se ha de tener especial atención en su mantenimiento.

Fuente: bitelia, Comparativa en SecurityByDefault

[Ghost]

Sin duda es algo interesante, habrá que ver si otros scripts, como el que usamos en mundobip es seguro.

[alarido]

Cuantos más plugins tienen menos seguros son y más complicados de actualizar, en cualquier caso es cuestión de que en cuanto no lo tengas actualizado y sale una vulnerabilidad te pueden crujir a base de bien.