Dos fallas de seguridad críticas que afectan la protección de Spam, Anti-Spam y el complemento de FireWall WordPress podrían permitir que un atacante no autenticado instale y habilite complementos maliciosos en sitios susceptibles y potencialmente logre la ejecución remota de código.
Las vulnerabilidades, rastreadas como CVE-2024-10542 y CVE-2024-10781, llevar una puntuación CVSS de 9,8 de un máximo de 10,0. Se abordaron en las versiones 6.44 y 6.45 lanzadas este mes.
Instalado en más de 200,000 sitios de WordPress, la protección Spam de CleanTalk, Anti-Spam, FireWall plugin es anunciado como un “plugin universal anti-spam” que bloquea los comentarios de spam, registros, encuestas y más.
Según Wordfence, ambas vulnerabilidades se refieren a un problema de omisión de autorización que podría permitir que un actor malicioso instale y active complementos arbitrarios. Esto podría allanar el camino para la ejecución remota de código si el complemento activado es vulnerable por sí mismo.
El plugin es “vulnerable a la Instalación Arbitraria de Plugin no autorizada debido a una falta de comprobación de valor vacío en el valor ‘api_key’ en la función ‘perform’ en todas las versiones hasta, e incluyendo, 6.44”, investigador de seguridad István Márton dicho, refiriéndose a CVE-2024-10781.
Por otro lado, CVE-2024-10542 se deriva de un bypass de autorización a través de la suplantación inversa de DNS en la función checkWithoutToken().
Independientemente del método de derivación, la explotación exitosa de las dos deficiencias podría permitir a un atacante instalar, activar, desactivar o incluso desinstalar complementos.
Se recomienda a los usuarios del complemento que se aseguren de que sus sitios estén actualizados a la última versión parcheada para protegerse contra posibles amenazas.
El desarrollo se produce como Sucuri ha advertido múltiple campañas que están aprovechando los sitios comprometidos de WordPress para inyectar código malicioso responsable de redirigir a los visitantes del sitio a otros sitios a través de anuncios falsos, credenciales de inicio de sesión de Skimming, así como eliminar malware eso captura contraseñas de administrador, redirige a Sitios de estafa de VexTrio Viper, y ejecutar código PHP arbitrario en el servidor.
Fuente: thehackernews.com