El complemento MW WP Form, reconocido por su habilidad instintiva para generar formularios, tiene un problema crítico. A pesar de contar con más de 200.000 instalaciones activas, una vulnerabilidad grave se ha detectado, planteando una amenaza seria pero sigilosa. Se identifica como una vulnerabilidad de carga de archivos arbitrarios no autenticados, permitiendo a atacantes infiltrarse y ejecutar código malicioso en el servidor de un sitio web.
Identificada como CVE-2023-6316, esta vulnerabilidad ha sido calificada como Crítica con un puntaje CVSS de 9,8, considerándola crítica. Esta puntuación refleja la facilidad con la que puede ser explotada y el daño potencial que podría causar, incluyendo acceso no autorizado, robo de datos y compromiso total del sitio.
La debilidad proviene de una validación insuficiente del tipo de archivo en la función ‘_single_file_upload’ del plugin. Esta falta de supervisión posibilita que los atacantes carguen archivos arbitrarios, como archivos PHP, en el servidor del sitio afectado. Esta vulnerabilidad es especialmente peligrosa debido a que no requiere autenticación, permitiendo que cualquier atacante remoto la aproveche.
Productos Afectados
Plugin MW WP Form versiones anteriores a 5.0.2.
Solución
Actualizar a la versión 5.0.2 o una versión parcheada más reciente.
Recomendación
Se recomienda encarecidamente a los usuarios actualizar sus instalaciones a esta última versión de forma inmediata para salvaguardar sus sitios web frente a posibles ataques.
Referencias: