Una vulnerabilidad crítica ha sido identificada en el popular plugin “Widget Options”, utilizado en más de 100,000 sitios web activos. Este problema ha sido parcheado en la versión 4.0.8 del plugin. A continuación, se detalla la información sobre esta vulnerabilidad.
CVE-2024-8672 (CVSS 9.9): Vulnerabilidad en la funcionalidad de lógica de visualización «Inyección de Código«. La vulnerabilidad radicaba en la función “display logic” del plugin, la cual interactúa con varios creadores de páginas. Este mecanismo permitía a los usuarios introducir datos que luego eran procesados mediante la función eval() sin aplicar los filtros o controles de capacidad adecuados. Esto permitía que atacantes autenticados con nivel de acceso de colaborador o superior inyectaran y ejecutaran código arbitrario en el servidor.
Productos y versiones afectadas:
- «Widget Options» en versiones anteriores a la 4.0.7 (incluida).
Solución:
- Actualizar a la versión 4.0.8 del plugin “Widget Options”.
Recomendaciones:
- Actualizar a la versión más reciente para mitigar la vulnerabilidad.
- Supervisar regularmente el comportamiento del sitio web para identificar posibles señales de actividad maliciosa.
- Implementar controles de acceso estrictos, limitando privilegios de usuario al mínimo necesario.
Referencias:
- https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/widget-options/widget-options-the-1-wordpress-widget-block-control-plugin-407-authenticated-contributor-remote-code-execution
- https://securityonline.info/cve-2024-8672-critical-flaw-in-widget-options-plugin-threatens-100000-websites/
- https://www.cve.org/CVERecord?id=CVE-2024-8672