CVE-2021-42367 es una vulnerabilidad de seguridad en el complemento de WordPress "Variation Swatches for WooCommerce". El complemento, que funciona como extensión WooCommerce, tiene más que 80,000 instalaciones activas.
CVE-2021-42367 Vulnerabilidad en muestras de variación para el complemento WooCommerce
La vulnerabilidad podría permitir a un atacante con privilegios de bajo nivel inyectar código JavaScript malicioso que se ejecutaría cuando un administrador del sitio acceda a la configuración del complemento., como explicaron los investigadores de Wordfence.
Los investigadores revelaron el problema de manera responsable a los desarrolladores del complemento en noviembre 12, 2021. Posteriormente se lanzó un parche en noviembre 23. Se recomienda encarecidamente que todos los usuarios del complemento Variation Swatches para WooCommerce instalen la última versión 2.1.2.
¿Para qué está diseñado el complemento Variation Swatches para WooCommerce?? Su propósito es agregar muestras de variación a los productos creados con WooCommerce, permitiendo así a los propietarios de espectáculos vender múltiples variantes del mismo producto. Para funcionar correctamente, el complemento registró varias acciones AJAX necesarias para administrar la configuración. Sin embargo, no se implementaron de manera segura, Permitir a los actores de amenazas con permisos de bajo nivel actualizar la configuración del complemento y ejecutar código malicioso..
"Más específicamente, el complemento registró tawcvs_save_settings, update_attribute_type_setting, y funciones update_product_attr_type, que estaban todos enganchados a varias acciones AJAX. Estas tres funciones eran todas las comprobaciones de capacidad faltantes, así como comprobaciones nonce, que brindan protección contra la falsificación de solicitudes entre sitios,"Wordfence dijo.
En otras palabras, cualquiera autenticado, Los usuarios de bajo nivel podrían ejecutar las acciones AJAX vinculadas con las funciones..
"Las acciones de AJAX se utilizaron para controlar las distintas configuraciones de los complementos, y la función tawcvs_save_settings en particular podría usarse para actualizar la configuración del complemento para agregar scripts web maliciosos, lo que hace que el problema sea mucho más grave," el informe agregado.
¿Cuáles podrían ser las consecuencias de un ataque basado en CVE-2021-42367?? Los scripts web maliciosos se pueden aprovechar de varias formas, incluida la modificación de un complemento o archivo de tema para agregar una puerta trasera. Una puerta trasera podría otorgar a un atacante la capacidad de realizar un ataque de toma de control de un sitio web.
En septiembre 2021, investigadores Wordfence informó dos vulnerabilidades en la biblioteca de plantillas de Gutenberg & Complemento Redux Framework para WordPress, CVE-2021-38312 y CVE-2021-38314. La primera vulnerabilidad podría permitir a los usuarios con permisos más bajos, como contribuyentes, para instalar y activar complementos arbitrarios y eliminar cualquier publicación o página a través de la API REST.
La segunda vulnerabilidad podría permitir que atacantes no autenticados accedan a información potencialmente confidencial relacionada con la configuración de un sitio.. La calificación del error es 5.3 en la escala CVSS.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: