Los usuarios de WordPress están siendo alertados sobre una grave vulnerabilidad encontrada en los plugins de miniOrange Malware Scanner y Web Application Firewall. El fallo, identificado como CVE-2024-2172, fue descubierto por Stiofan y calificado con una puntuación CVSS de 9.8, lo que lo convierte en un problema crítico de seguridad. Las versiones afectadas del Escáner de Malware y el Firewall de Aplicaciones Web han sido cerradas permanentemente por los mantenedores desde el 7 de marzo de 2024. A pesar de que el Escáner de Malware cuenta con más de 10,000 instalaciones activas y el Firewall de Aplicaciones Web tiene más de 300 instalaciones activas, se sugiere a los usuarios eliminar ambos plugins de sus sitios web.
Wordfence, que descubrió la vulnerabilidad la semana pasada, declaró que un atacante no autenticado puede escalar sus privilegios al de un administrador al actualizar la contraseña de cualquier usuario. La falta de verificación de capacidades en la función mo_wpns_init() es la responsable de la vulnerabilidad. Este error puede llevar a la completa compromisión del sitio si el atacante obtiene acceso de usuario administrativo.
Una vez que un atacante tiene acceso de usuario administrativo a un sitio de WordPress, pueden manipular cualquier cosa en el sitio objetivo. Esto incluye subir archivos maliciosos que contienen puertas traseras y modificar publicaciones y páginas para redirigir a los usuarios del sitio a otros sitios maliciosos o para inyectar contenido de spam.
Este incidente sigue a la advertencia realizada por WordPress sobre una vulnerabilidad de alta severidad en el plugin RegistrationMagic (CVE-2024-1991, puntuación CVSS: 8.8), que afecta a todas las versiones, incluyendo y anteriores a 5.3.0.0. El 11 de marzo de 2024, se lanzó la versión 5.3.1.0 para abordar este problema, que permite a un atacante autenticado otorgarse privilegios administrativos actualizando la función de usuario. Con más de 10,000 instalaciones activas, los actores de amenazas autenticados con permisos de nivel de suscriptor o superior pueden elevar sus privilegios al de un administrador del sitio, lo que podría llevar a una completa complicación del sitio, advirtió István Márton.
La eliminación de miniOrange Malware Scanner y Web Application Firewall y la actualización de RegistrationMagic a la última versión son las mejores prácticas de seguridad recomendadas para proteger los sitios de WordPress contra ataques maliciosos.
Vía The Hacker News
