Todas las Noticias en Pel√≠culas, Avances de Pel√≠culas y Rese√Īas.

El complemento PHP Everywhere de WordPress pone en riesgo a miles de sitios

Los investigadores de Wordfence han encontrado vulnerabilidades críticas en un popular complemento de WordPress llamado PHP Everywhere, que afecta a miles de sitios web.

El error de ejecución remota de código en uno de los errores encontrados permitirá que incluso un suscriptor general inyecte código PHP malicioso en un sitio de destino. Los sitios web que tienen este complemento y se ejecutan en WordPress v2.0.3 e inferior son vulnerables, dicen los investigadores. Aunque, una actualización de parche está disponible.

Error de RCE en un complemento de WordPress

En la rutina de encontrar nuevos errores que afecten a los sitios de WordPress, el equipo de wordfence ha encontrado tres vulnerabilidades críticas en un complemento popular llamado PHP Everywhere. Esto está siendo utilizado por más de 30,000 sitios web de WordPress, dicen los investigadores.

Sus hallazgos incluyen lo siguiente;

  • CVE-2022-24664 ‚Äď Vulnerabilidad de RCE explotable por los contribuyentes a trav√©s del metabox del complemento. Un atacante crear√≠a una publicaci√≥n, agregar√≠a un metabox de c√≥digo PHP y luego lo previsualizar√≠a. (Puntuaci√≥n CVSS v3: 9,9)
  • CVE-2022-24663 ‚Äď Falla de ejecuci√≥n remota de c√≥digo explotable por cualquier suscriptor al permitirles enviar una solicitud con el par√°metro ‘shortcode’ establecido en PHP Everywhere y ejecutar c√≥digo PHP arbitrario en el sitio. (Puntuaci√≥n CVSS v3: 9,9)
  • CVE-2022-24665 ‚Äď Falla de RCE explotable por colaboradores que tienen la capacidad de ‘editar publicaciones’ y pueden agregar bloques PHP Everywhere Gutenberg. La configuraci√≥n de seguridad predeterminada en versiones de complementos vulnerables no est√° en ‘solo administrador’ como deber√≠a ser. (Puntuaci√≥n CVSS v3: 9,9)

Es inusual que los tres errores tengan puntajes de gravedad muy altos (9.9/10), que est√°n al acecho sin conocer a los desarrolladores. El tercer error de la lista anterior es a√ļn m√°s cr√≠tico, ya que puede ser explotado por un suscriptor.

Recomendado:  ¬ŅC√≥mo ver los Oscar 2023 en Xfinity? [X1|Flex|ABC]

Cualquiera que se registre como suscriptor general de un sitio de destino puede tener el privilegio de ejecutar c√≥digo PHP malicioso, lo que en √ļltima instancia lleva a la toma de control del sitio. Aunque los dos primeros errores necesitan al menos acceso de colaborador al sitio de destino, siguen siendo significativos.

El equipo de Wordfence detectó estas vulnerabilidades el 4 de enero de 2022 e informó al fabricante de PHP Everywhere de inmediato. Aunque el autor lanzó parches para estos errores el 10 de enero de 2022, sigue siendo responsabilidad de los propietarios del sitio de WordPress actualizar el complemento desde su parte.

Y para tener en cuenta, la actualización del parche actual (v.3.0.0) solo es bueno para sitios con editores de bloques, dejando vulnerables a los que tienen editores clásicos. A partir de ahora, se encuentra que solo la mitad del total de 30,000 sitios han actualizado este complemento.