Aviso de seguridad
Nivel de peligrosidad: Crítico
Descripción
Se han identificado múltiples vulnerabilidades críticas en los complementos de WordPress, afectando a versiones específicas de Email Verification for WooCommerce, WooCommerce Order Proposal, y Recently. Estas vulnerabilidades, registradas como CVE-2024-49305 con criticidad 9.3, CVE-2024-9927 con criticidad 7.8, y CVE-2024-49218 con criticidad 9.8, permiten a atacantes no autenticados extraer información confidencial, ejecutar código malicioso y escalar privilegios a niveles administrativos.
CVE-2024-49305: El complemento Email Verification for WooCommerce es vulnerable a una inyección SQL no autenticada, lo que permite a atacantes añadir consultas SQL adicionales a las ya existentes, facilitando la extracción de datos confidenciales de la base de datos.
CVE-2024-9927: El complemento WooCommerce Order Proposal permite que atacantes autenticados con rol de Shop Manager escalen sus privilegios y obtengan acceso administrativo completo debido a una implementación incorrecta de la función allow_payment_without_login.
CVE-2024-49218: El complemento Recently es vulnerable a la inyección de objetos PHP no autenticada debido a la deserialización de entradas no confiables. Esto permite que los atacantes inyecten objetos PHP que pueden potencialmente eliminar archivos arbitrarios, recuperar datos sensibles o ejecutar código malicioso si existe una cadena POP a través de otro complemento o tema.
Recursos afectados
Las versiones vulnerables de estos complementos son:
- Email Verification for WooCommerce versiones <= 2.8.10
- WooCommerce Order Proposal versiones <= 2.0.5
- Recently versiones <= 1.1
Solución
Se recomienda actualizar inmediatamente los complementos afectados para corregir estas vulnerabilidades:
- Email Verification for WooCommerce: Actualizar a la versión superior > 2.8.10.
- WooCommerce Order Proposal: Actualizar a la versión superior > 2.0.5.
- Recently: Actualizar a la versión superior > 1.1.
Si no es posible aplicar las actualizaciones de inmediato, se recomienda deshabilitar los complementos para mitigar el riesgo hasta que las actualizaciones sean aplicadas.
Recomendaciones
- Actualizar los complementos correspondientes a las versiones parcheadas o superiores para eliminar estas vulnerabilidades.
- Implementar medidas de seguridad adicionales, como la autenticación multifactor (MFA), para reducir el riesgo de escalada de privilegios y acceso no autorizado.
- Activar las actualizaciones automaticas de WordPress
- Revisar otros complementos o temas instalados en el sitio que puedan contener cadenas POP para evitar posibles ejecuciones de código no deseadas en el caso de la vulnerabilidad de Recently.
Referencias