Vulnerabilidad crítica detectada en 3 plugins de WordPress que afectan a 84.000 sitios web

"Esta vulnerabilidad permite a los piratas informáticos actualizar arbitrariamente las preferencias de las páginas de los sitios vulnerables", dijo la empresa de seguridad de WordPress, Wordfence, en un nuevo informe publicado la semana pasada. "Si engañan al webmaster para que tome medidas, como hacer clic en un enlace, el hacker puede hacerlo".

La vulnerabilidad de WordPress está clasificada como Cross-Site Fraud (CSRF), está rastreada bajo el código CVE-2022-0215 ​​y tiene un nivel de amenaza de 8.8 en el nivel CVSS. Afecta a tres complementos compatibles con Xootix:

1. Ventana emergente de inicio de sesión/registro (formulario incorporado + Woocommerce)
2. Sidecar Woocommerce (Ajax)
3. Lista de espera para Woocommerce (con notificaciones de disponibilidad)

CSRF, también conocido como ataque de un clic o de sesión, ocurre cuando un atacante engaña a un usuario autenticado para que envíe una solicitud web personalizada. Si la víctima es un administrador, CSRF ayuda a la grúa a destruir toda la aplicación web.

En particular, la vulnerabilidad se deriva de la falta de autenticación al procesar solicitudes AJAX, lo que permite a un atacante actualizar la opción "users_can_register" en un sitio web a verdadero. Y configure la configuración "default_role" (la función predeterminada para los usuarios que registran el sitio) a un administrador con control total.

La ventana emergente de inicio de sesión/registro está instalada en más de 20 000 sitios web, mientras que Side Cart Woocommerce y Waitlist Woocommerce están instalados en 4000 y 60 000 páginas, respectivamente.

Wordfender informó sobre la vulnerabilidad en noviembre de 2021 y se corrigió en las versiones 2.3 de registro/inicio de sesión emergente, Side Cart Woocommerce versión 2.1 y Waitlist Woocommerce versión 2.5.2.

Hace solo un mes, los piratas informáticos atacaron 1,6 millones de sitios de WordPress utilizando vulnerabilidades en cuatro complementos del marco Epsilon y 15 temas. Esto es solo parte de una campaña masiva arraigada en 16,000 direcciones IP.