Una vulnerabilidad crítica de Ejecución Remota de Código (RCE) (CVE-2024-8672) ha sido identificada en el plugin Widget Options – The #1 WordPress Widget & Block Control Plugin, el cual cuenta con más de 100.000 instalaciones activas a nivel global. La vulnerabilidad permite a usuarios con privilegios de tipo colaborador (contributor) o superiores ejecutar código arbitrario en los sitios de WordPress afectados. La amplia difusión de este plugin en diversos sitios web aumenta significativamente el riesgo de explotación, con potenciales compromisos de datos sensibles y de la integridad del sistema.

Producto	wp-query-console
Fecha	2024-12-02 10:00:25
Información	Tendencia Corrección disponible

Resumen técnico

CVE-2024-8672 afecta a todas las versiones del plugin Widget Options hasta la versión 4.0.7, aprovechando la funcionalidad de lógica de visualización (display logic) del plugin. El problema surge de la gestión inadecuada de la entrada proporcionada por los usuarios, que se pasa a la función eval() sin una sanitización adecuada o restricciones basadas en roles.

Detalles clave:

Requisitos para la explotación: El atacante debe disponer al menos de privilegios de tipo colaborador (contributor). Método de ataque: Al inyectar código malicioso en los ajustes de la lógica de visualización, el atacante puede ejecutar arbitrariamente código PHP en el servidor, lo que lleva al compromiso total del sitio. Respuesta del proveedor: El proveedor ha lanzado un parche en la versión 4.0.8, pero esta no incluye medidas de endurecimiento (hardening) suficientes, como la limitación de la ejecución a roles de confianza o la definición de una lista blanca de funciones permitidas, dejando por tanto algunos riesgos residuales.

Esta vulnerabilidad está clasificada como Crítica con una puntuación CVSS de 9.9.

Versiones afectadas:

• Versiones del plugin Widget Options 4.0.7 y anteriores.

Recomendaciones

1. Actualizar el Plugin:
   Realizar la actualización a la versión 4.0.8 o posteriores para aplicar la corrección del proveedor.

2. Verificar los Roles de Usuario:
   Revisar y limitar los privilegios de los colaboradores para evitar accesos innecesarios a los ajustes de la lógica de visualización.

[Callforaction-THREAT-Footer]