Category: Actualitat

S’han detectat diverses vulnerabilitats en connectors de WordPress.

Anàlisi

El connector Customer Email Verification for WooCommerce per a WordPress és vulnerable a Email Verification and Authentication Bypass en totes les versions fins a, i incloent, 2.7.4 a través de l’ús d’un codi d’activació insuficientment aleatori.

• • CVE-2024-4185: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:O/C:H/I:H/A:H

El connector ZD YouTube FLV Player per a WordPress és vulnerable a Server-Side Request Forgery en totes les versions fins a, i incloent, l’1.2.6 a través del paràmetre $_GET[‘image’].

• • CVE-2024-2663: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

El connector ACF Front End Editor per a WordPress és vulnerable a la modificació no autoritzada de dades a causa d’una falta de comprovació de capacitat en la funció update_texts() en totes les versions fins a la 2.0.2, inclusivament.

• • CVE-2024-3072: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:O/C:N/I:L/A:N

 

Recursos afectats

Per al connector WooCommerce: versions anteriors a la 2.7.4, inclusivament.

Per al connector ZD YouTube FLV Player: versions anteriors a la 1.2.6, inclusivament.

Per al connector ACF Front End Editor: versions anteriors a la 2.0.2, inclusivament.

 

Recomanacions

Per al connector WooCommerce: actualitzar a la versió més recent 2.7.5.

Per al connector ZD YouTube FLV Player: de moment no hi ha solució.

Per al connector ACF Front End Editor: de moment no hi ha solució.

Referències

S’ha detectat una vulnerabilitat en el connector Google Doc Embedder per a WordPress en versions fins a la 2.6.4 inclusivament.

Anàlisi

El connector Google Doc Embedder per a WordPress és vulnerable a la falsificació de petició del costat del servidor a través del shortcode ‘gview’ en versions fins a la 2.6.4 inclusivament.

Això pot permetre a atacants autenticats amb permisos de nivell de col·laborador o superior realitzar peticions web a ubicacions arbitràries originades des de l’aplicació web i pot utilitzar-se per a consultar i modificar informació de servicis interns.

Se li ha assignat CVE-2024-0216

Recursos afectats

Versions anteriors a la 2.6.4, inclusivament.

Recomanacions

No es coneix cap pedaç disponible, com a recomanació es pot desinstal·lar el programari afectat i buscar-ne un substitut.

Referències

Una vulnerabilitat en el connector WP Automatic per a WordPress permet que un atacant accedisca a pàgines web, cree un usuari d’administrador, puge arxius maliciosos i fins i tot prenga el control total sobre els llocs atacats. Encara que esta vulnerabilitat va ser descoberta al març del 2024, és ara a l’abril quan s’està explotant massivament.

Anàlisi

Esta vulnerabilitat ha sigut catalogada com a crítica (9.9) per PatchStack, l’NIST encara no ha publicat puntuació. Una fallada de tipus SQL injection permet que un atacant puga crear usuaris amb permisos d’administrador per a guanyar accés en la pàgina objectiu.

Se li ha assignat l’identificador CVE-2024-27956.

Recursos afectats

Connector WP Automatic en les versions anteriors a 3.92.1.

Recomanacions

Instal·lar la versió 3.9.21 que corregix esta vulnerabilitat.

Referencias

https://nvd.nist.gov/vuln/detail/CVE-2024-27956
https://thehackernews.com/2024/04/hackers-exploiting-wp-automatic-plugin.html
https://wpautomatic.com/