Vulnerabilidades graves en el plugin WPContact Form

Cve-2020-35489 github

Vayamos directamente al punto importante: se recomienda a quienes utilicen el plugin Contact Form 7 que actualicen a la versión 5.8 o 5.9 (véase la última versión de actualización de seguridad de wordpress) lo antes posible para mayor seguridad.

Los informes sobre vulnerabilidades en plugins de WordPress se han convertido en algo cotidiano y, aunque la mayoría de estos fallos se detectan a tiempo, este no es el único factor clave para evitar su explotación que podría llevar al hackeo de sitios wordpress.

La versión parcheada ha sido liberada a primera hora de hoy, miércoles 17 de diciembre de 2020. Si su sitio es uno de los muchos que utilizan Contact Form 7, le recomendamos encarecidamente que actualice a la versión 5.3.2 lo antes posible.

Una empresa de ciberseguridad ha informado del hallazgo de un nuevo fallo en Contact Form 7, un popular plugin para crear múltiples formularios. Si se explota, esta vulnerabilidad permitiría a los actores de amenazas escalar privilegios en el sitio vulnerable.

Un hacker que explotara con éxito la vulnerabilidad podría realizar diversas actividades maliciosas, como modificar el contenido, redirigir a los visitantes a sitios desconocidos, robar información, e incluso podría tomar el control total del sitio objetivo y bloquear el acceso al administrador legítimo.

Formulario de contacto 7 < 5.3.2 – carga de archivos sin restricciones

La mayoría de la gente sabe que no debe aceptar cosas de extraños. Pero cuando se trata de Internet, nuestro sentido de la autopreservación a menudo sale volando por la ventana. No nos lo pensamos dos veces cuando completos desconocidos se nos acercan en el mundo digital, nos enseñan un nuevo y reluciente plugin y nos piden que lo instalemos en WordPress. Sin embargo, los plugins vulnerables representan más del 30% de todos los sitios WordPress pirateados.

  Plugin para autocompletar tags

No sólo los propietarios de sitios de WordPress confían demasiado en los extraños de Internet. Toneladas de personas entregan sus contraseñas, información personal y otros datos confidenciales a completos desconocidos en Internet sin pensárselo dos veces. Incluso las personas más prominentes son engañadas para que revelen su información personal en Internet. No hace mucho, un hacker británico engañó a funcionarios de la Casa Blanca para que revelaran información confidencial. El hecho de que el personal afectado de la Casa Blanca formara parte del grupo de trabajo sobre ciberseguridad de Estados Unidos demuestra que es fácil confiarse demasiado. Hay que ser proactivo.

Una vulnerabilidad es una debilidad. En lenguaje informático, es un punto débil en un programa informático, capaz de ser explotado. Una persona malintencionada puede utilizarla para obtener acceso no autorizado a un sistema informático. Si instalas un plugin de WordPress con una vulnerabilidad, los atacantes pueden usarla para acceder a tu panel de control, descargar datos de tu lista de correo y, si tienes una tienda de comercio electrónico, hacerse con todos los datos de tus clientes que puedan.

  Los 4 plugins esenciales de Wordpress

Cve-2020-35489

Si el desarrollador del plugin decide que sólo los administradores pueden usar el tipo de post del plugin, simplemente comprobará si el usuario es un administrador en la parte superior de la página y finalizará la ejecución en caso contrario.

Aunque todos los tipos de entrada registrados tienen su propio editor, todos pueden usar la API de envío de entradas de WordPress e insertar y actualizar las entradas con la función de WordPress wp_write_post(). La función toma datos del usuario como $_POST[‘post_type’], $_POST[‘post_title’] y $_POST[‘post_content’] para saber cómo procesar la entrada.

En el primer paso del proceso de envío de entradas de WordPress, WordPress tiene que saber si el usuario quiere editar una entrada existente o crear una nueva. Para ello, WordPress comprueba si el usuario ha enviado un ID de una entrada. WordPress permitirá tanto $_GET[‘post’] como $_POST[‘post_ID’]. Si se establece un ID, el usuario quiere editar un post existente con ese ID. Si no, el usuario quiere crear un nuevo post.

En el siguiente paso, WordPress tiene que determinar qué tipo de entrada está intentando crear el usuario. Si se ha enviado un ID de entrada, WordPress extraerá la columna post_type de la base de datos de la tabla wp_posts. Si el usuario quiere crear una nueva entrada, el tipo de entrada objetivo será $_POST[‘post_type’].

Formulario de contacto 7 Vulnerabilidades 5.5.6

Los Analistas NVD utilizan información disponible públicamente para asociar cadenas de vectores y puntuaciones CVSS. También mostramos cualquier información CVSS proporcionada dentro de la Lista CVE de la CNA.Nota: Los Analistas NVD han publicado una puntuación CVSS para este CVE basada en información públicamente disponible en el momento del análisis. La CNA no ha proporcionado una puntuación dentro de la Lista CVE.

  Competición de Plugins WordPress 2023

Los Analistas NVD utilizan información disponible públicamente para asociar cadenas de vectores y puntuaciones CVSS. También mostramos cualquier información CVSS proporcionada dentro de la Lista CVE de la CNA.Nota: Los Analistas NVD han publicado una puntuación CVSS para este CVE basada en la información públicamente disponible en el momento del análisis. La CNA no ha proporcionado una puntuación dentro de la Lista CVE.