Casa » Noticias » Una vulnerabilidad en el plugin para WordPress permite ejecutar código PHP de forma remota

Una vulnerabilidad en el plugin para WordPress permite ejecutar código PHP de forma remota

especialistas en seguridad de la información de Wordfence han descubierto la vulnerabilidad del plugin anuncio insertador para WordPress instalado en más de 200,000 sitios web. El fallo permite a un atacante remoto ejecutar código PHP en el sitio.

Tél vulnerabilidad afecta a todos los sitios web de WordPress con instalada insertador anuncio 2.4.21 o bajo.

“La debilidad permitido a los usuarios autenticados (Y por encima de los suscriptores) para ejecutar código PHP arbitrario en sitios web usando el plugin”, - informaron expertos en seguridad de la información de Wordfence que descubrió la vulnerabilidad.

insertador anuncio - plug-in para administrar los anuncios con características avanzadas para la colocación de anuncios en posiciones óptimas. Es compatible con todos los tipos de publicidad, incluyendo Google AdSense, Google Ad Manager (DFP – DoubleClick for Publishers), contextual Amazon nativos anuncios de Shopping, Media.net, y el cambio de banderas.

Según los investigadores Wordfence, la vulnerabilidad está relacionado con el uso de check_admin_referer () la función de autorización, que tiene por objeto proteger los sitios de WordPress desde los ataques CSRF. Esta función comprueba la presencia de los códigos de una sola vez en la solicitud (un contador de una sola vez se usa para prevenir la transformación de subproductos no deseados repitió, solicitudes caducadas o maliciosos).

La práctica está diseñada para garantizar que los usuarios con los derechos adecuados sólo pueden acceder al código de una sola vez. sin embargo, desarrolladores de WordPress recibieron precaución contra el uso de códigos de una sola vez y señalar en la documentación oficial que “nunca se debe confiar en los códigos de una sola vez para la autenticación, autorización o control de acceso.

Tener el código de una sola vez a disposición, atacantes autenticados pueden omitir la comprobación de autorización y acceder al modo de depuración proporcionado por el plugin anuncio insertador.

Típicamente, estas características de depuración están disponibles sólo para los administradores, explicar los investigadores. En caso de activación de algunos ajustes, casi todas las páginas incluye código JavaScript que contiene un código de un tiempo válido para la ai_ajax_backend acción. Una vez que un atacante recibe un código de una sola vez, se puede activar la depuración y explotar la función de vista previa de anuncios mediante el envío de una carga maliciosa con código PHP arbitrario.

LEER  RIG explotar conjunto está siendo utilizado para ofrecer una nueva herramienta de cifrado para los usuarios Buran

Insertador desarrolladores de anuncios ya han lanzado una versión revisada del plug-in.

“Esto se considera un problema de seguridad crítico, y sitios web corriendo anuncio insertador 2.4.21 o por debajo debe ser actualizado a la versión 2.4.22 inmediatamente", - recomendar especialistas Wordfence a los administradores de WordPress.

[Total:0    Promedio:0/5]

Acerca de Trojan Killer

Trojan Killer llevar portátil en su dispositivo de memoria. Asegúrese de que usted es capaz de ayudar a su PC resistir cualquier amenaza cibernética donde quiera que vaya.

también puedes ver

MageCart en la plataforma de nube Heroku

Los investigadores encontraron Varios MageCart Web skimmers En Heroku Cloud Platform

Researchers at Malwarebytes reported about finding several MageCart web skimmers on the Heroku cloud platform

Android Spyware CallerSpy

máscaras spyware CallerSpy como una aplicación de chat Android

expertos de Trend Micro descubrieron que el malware CallerSpy, que enmascara como una aplicación de chat y Android, …

Deja una respuesta