El 24 de noviembre de 2023 se descubrió una vulnerabilidad de carga arbitraria de archivos en el formulario MW WP de WordPress instalado activamente en más de 200.000 sitios web.
Análisis
Esta vulnerabilidad hace posible que un atacante no autenticado cargue archivos arbitrarios, incluidos archivos PHP, y logre la ejecución remota de código en el servidor de un sitio vulnerable cuando la opción «Guardar datos de consulta en la base de datos» en la configuración del formulario está habilitada.
Todos los clientes de Wordfence Premium , Wordfence Care y Wordfence Response , así como aquellos que todavía usan la versión gratuita del complemento, están protegidos contra cualquier exploit dirigido a esta vulnerabilidad mediante la protección integrada contra carga de archivos maliciosos del firewall de Wordfence.
Se ha asignado el identificador CVE-2023-6316 para esta vulnerabilidad.
Recursos afectados
- El complemento MW WP Form para WordPress es vulnerable en versiones hasta la 5.0.1 inclusive.
Recomendaciones
- Actualizar el complemento a la versión 5.0.2, lanzada el 29 de noviembre, que soluciona la vulnerabilidad por completo.
Referencias