Se ha revelado una falla de seguridad crítica en el complemento multilingüe de WordPress WPML que podría permitir a los usuarios autenticados ejecutar código arbitrario de forma remota bajo ciertas circunstancias.
Vulnerabilidad, seguida de CVE-2024-6386 (Puntuación CVSS: 9,9), afecta a todas las versiones del complemento anteriores a la 4.6.13, lanzada el 20 de agosto de 2024.
El problema, que se debe a la falta de validación y saneamiento de entradas, permite a atacantes autenticados, con acceso de nivel de colaborador y superior, ejecutar código en el servidor.
WPML es un complemento popular que se utiliza para crear sitios de WordPress multilingües. Tiene más de un millón de instalaciones activas.
El investigador de seguridad Stealthcopter, que descubrió e informó CVE-2024-6386, dijo que el problema radica en el manejo del complemento. códigos cortos que se utilizan para insertar contenido de publicaciones como audio, imágenes y videos.
«Específicamente, el complemento utiliza plantillas Twig para representar contenido en códigos cortos, pero no desinfecta adecuadamente las entradas, lo que lleva a la inyección de plantillas del lado del servidor (SSTI)», dijo el investigador. dicho.
SSTI, como su nombre indica, ocurre cuando un atacante puede utilizar la sintaxis nativa de una plantilla para inyectar una carga útil maliciosa en una plantilla web, que luego se ejecuta en el servidor. Un atacante podría entonces aprovechar esta falla para ejecutar comandos arbitrarios, permitiéndole así tomar el control del sitio.
«Esta versión de WPML aborda una vulnerabilidad de seguridad que podría permitir a los usuarios con ciertos permisos realizar acciones no autorizadas», dijeron los mantenedores del complemento OnTheGoSystems. dicho“Es poco probable que este problema ocurra en escenarios del mundo real. Requiere que los usuarios tengan permisos de edición en WordPress y que el sitio utilice una configuración muy específica. »
Se recomienda a los usuarios del complemento que apliquen los parches más recientes para mitigar posibles amenazas.
