Dos fallas de seguridad cr\u00edticas que afectan la protecci\u00f3n contra spam, Anti-Spam y el complemento FireWall de WordPress podr\u00edan permitir que un atacante no autenticado instale y habilite complementos maliciosos en sitios susceptibles y potencialmente lograr la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n
Las vulnerabilidades, rastreadas como CVE-2024-10542<\/strong> y CVE-2024-10781<\/strong>tiene una puntuaci\u00f3n CVSS de 9,8 sobre un m\u00e1ximo de 10,0. Se solucionaron en las versiones 6.44 y 6.45 lanzadas este mes.<\/p>\n Instalado en m\u00e1s de 200.000 sitios de WordPress, el complemento FireWall, antispam y protecci\u00f3n contra spam de CleanTalk est\u00e1 disponible anunciado<\/a> como un “complemento antispam universal” que bloquea comentarios, registros, encuestas y m\u00e1s spam.<\/p>\n Seg\u00fan Wordfence, ambas vulnerabilidades se refieren a un problema de omisi\u00f3n de autorizaci\u00f3n que podr\u00eda permitir a un actor malintencionado instalar y activar complementos arbitrarios. Esto podr\u00eda allanar el camino para la ejecuci\u00f3n remota de c\u00f3digo si el complemento activado es vulnerable por s\u00ed solo.<\/p>\n El complemento es “vulnerable a una instalaci\u00f3n arbitraria no autorizada de complementos debido a que falta una verificaci\u00f3n de valor vac\u00edo en el valor ‘api_key’ en la funci\u00f3n ‘perform’ en todas las versiones hasta la 6.44 inclusive”, dijo el investigador de seguridad Istv\u00e1n M\u00e1rton. dicho<\/a>en referencia a CVE-2024-10781.<\/p>\n Por otro lado, CVE-2024-10542 surge de una omisi\u00f3n de autorizaci\u00f3n mediante suplantaci\u00f3n de DNS inversa en la funci\u00f3n checkWithoutToken().<\/p>\n Independientemente del m\u00e9todo de derivaci\u00f3n, la explotaci\u00f3n exitosa de las dos deficiencias podr\u00eda permitir a un atacante instalar, activar, desactivar o incluso desinstalar complementos.<\/p>\n Se recomienda a los usuarios del complemento que se aseguren de que sus sitios est\u00e9n actualizados a la \u00faltima versi\u00f3n parcheada para protegerse contra posibles amenazas.<\/p>\n El desarrollo se produce cuando Sucuri advirti\u00f3 sobre m\u00faltiple<\/a> campa\u00f1as<\/a> que aprovechan sitios de WordPress comprometidos para inyectar c\u00f3digo malicioso responsable de redirigir a los visitantes del sitio<\/a> a otros sitios a trav\u00e9s de anuncios falsos, hojeando credenciales de inicio de sesi\u00f3n<\/a>as\u00ed como soltar malware<\/a> que captura contrase\u00f1as de administrador, redirige a sitios fraudulentos de VexTrio Viper y ejecuta c\u00f3digo PHP arbitrario en el servidor.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Los-fallos-criticos-del-complemento-antispam-de-WordPress-exponen-a.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n