Dos fallos de seguridad críticos que afectan a los plugins de protección contra spam, antispam y cortafuegos de WordPress podrían permitir a un atacante no autenticado instalar y habilitar plugins maliciosos en sitios susceptibles y lograr potencialmente la ejecución remota de código.
Las vulnerabilidades, rastreadas como CVE-2024-10542 y CVE-2024-10781, tienen una puntuación CVSS de 9,8 sobre un máximo de 10,0. Se solucionaron en las versiones 6.44 y 6.45 publicadas este mes.
Instalado en más de 200.000 sitios de WordPress, el plugin CleanTalk's Spam protection, Anti-Spam, FireWall se anuncia como un «plugin antispam universal» que bloquea los comentarios, registros y encuestas de spam, entre otros.
Según Wordfence, ambas vulnerabilidades se refieren a un problema de elusión de autorización que podría permitir a un actor malicioso instalar y activar plugins arbitrarios. Esto podría allanar el camino para la ejecución remota de código si el plugin activado es vulnerable por sí mismo.
El plugin es «vulnerable a la instalación no autorizada de plugins arbitrarios debido a la falta de comprobación de un valor vacío en el valor ?api_key? de la función ?perform? en todas las versiones hasta la 6.44 inclusive», explicó el investigador de seguridad István Márton, refiriéndose a CVE-2024-10781.
Por otra parte, CVE-2024-10542 se deriva de un bypass de autorización a través de la suplantación inversa de DNS en la función checkWithoutToken().
Independientemente del método de desvío, la explotación exitosa de las dos deficiencias podría permitir a un atacante instalar, activar, desactivar o incluso desinstalar plugins.
Se recomienda a los usuarios del plugin que se aseguren de que sus sitios están actualizados a la última versión parcheada para protegerse de posibles amenazas.
El desarrollo se produce cuando Sucuri ha advertido de múltiples campañas que están aprovechando sitios WordPress comprometidos para inyectar código malicioso responsable de redirigir a los visitantes del sitio a otros sitios a través de anuncios falsos, robar credenciales de inicio de sesión, así como soltar malware que captura contraseñas de administrador, redirige a sitios de estafa VexTrio Viper y ejecuta código PHP arbitrario en el servidor.
Fuente: thehackernews