WordPress es una plataforma versátil y poderosa para la creación y administración de sitios web, cuenta con plugins (complementos) que son extensiones de software que se instalan en un sitio web de WordPress para agregar funcionalidades adicionales. Recientemente se detectaron tres nuevas vulnerabilidades que afectan a tres de estos complementos.
Detalles de las vulnerabilidades.
CVE-2023-2982 con severidad CRITICA y un puntaje base CVSS de 9.8 de tipo omisión de autenticación, afecta al complemento de inicio de sesión y registro social de WordPress (Discord, Google, Twitter, LinkedIn). Esto hace posible que los atacantes no autenticados inicien sesión como cualquier usuario existente en el sitio, como un administrador, si conocen la dirección de correo electrónico asociada con ese usuario.
CVE-2023-2996 con severidad CRITICA y un puntaje base CVSS desconocido. Esta vulnerabilidad de tipo omisión de autenticación afecta al complemento Jetpack y brinda a cualquier persona con acceso de nivel de ‘autor’ o superior el poder de manipular, eliminar e incluso ejecutar código remoto en el sitio de WordPress a través de un método conocido como “deserialización phar” (tipo de vulnerabilidad de seguridad que puede ocurrir en aplicaciones web). Esta posibilidad, tiene el potencial de poner a millones de sitios web en riesgo de pérdida de datos, corrupción o, lo que es peor, una adquisición total.
La siguiente vulnerabilidad con un CVE desconocido de severidad ALTA y un puntaje base CVSS de 8.8 de tipo Inyección SQL (Structured Query Language), afecta al complemento de URL corta a través del parámetro ‘idLink’ de la función reset_link() invocada a través de una acción AJAX (técnica utilizada en el desarrollo web para realizar solicitudes asíncronas al servidor sin tener que recargar la página completa). Esto hace posible que los atacantes autenticados, con permisos mínimos, como un suscriptor, agreguen consultas SQL adicionales a consultas ya existentes que se pueden usar para extraer información confidencial de la base de datos.
Versiones Afectadas
- Jetpack en versiones anteriores a la 12.1.1.
- URL Corta (Shorten URL) en versiones 1.6.4 y anteriores.
- Complemento de inicio de sesión y registro social en versiones 7.6.4 y anteriores.
Solución
- Jetpack versiones 12.1.1 o superiores.
- URL Corta (Shorten URL) versiones 1.6.5 o superiores.
- Complemento de inicio de sesión y registro social versiones 7.6.5 o superiores.
Recomendación
Se recomienda a los usuarios que actualicen a las versiones más recientes para proteger sus sistemas contra estas amenazas.
Referencias
- https://securityonline.info/cve-2023-2996-a-critical-vulnerability-in-the-jetpack-wordpress-plugin/
- https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/shorten-url/short-url-164-authenticated-subscriber-sql-injection
- https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/miniorange-login-openid/wordpress-social-login-and-register-discord-google-twitter-linkedin-764-authentication-bypass