El plugin GiveWP, con más de 100.000 instalaciones activas, es una plataforma de donación y recaudación de fondos ampliamente utilizada en sitios de WordPress. En todas las versiones hasta la 3.16.3 inclusive, existe una vulnerabilidad crítica de inyección de objetos PHP (CVE-2024-9634) que permite a los atacantes inyectar objetos maliciosos a través del parámetro give_company_name. Si se explota junto con una cadena POP (Property-Oriented Programming), esta vulnerabilidad puede conducir a la ejecución remota de código (RCE). Dada la popularidad del plugin y su uso para gestionar transacciones financieras sensibles, como las donaciones, el riesgo de explotación es considerable. Una explotación no autorizada podría comprometer los datos de los donantes, alterar el comportamiento del sitio o incluso otorgar acceso administrativo a los atacantes. Debido a la naturaleza no autenticada del exploit, todos los sitios que utilizan versiones vulnerables están en riesgo inmediato.
| Producto | WordPress |
| Fecha | 2024-10-21 16:46:28 |
| Información |
|
Resumen técnico
CVE-2024-9634 es una vulnerabilidad crítica que afecta al plugin GiveWP para WordPress. Se produce debido a la deserialización insegura de la entrada del usuario, lo que permite a los atacantes inyectar objetos PHP a través del parámetro give_company_name. La presencia de una cadena POP puede intensificar el ataque hasta la ejecución remota de código, permitiendo al atacante ejecutar código arbitrario en el sistema comprometido. La vulnerabilidad afecta a todas las versiones hasta la 3.16.3 inclusive. Esto hace que el problema sea particularmente peligroso, dado que el plugin no solo es ampliamente utilizado, sino que también suele estar involucrado en operaciones financieras donde la confianza y la seguridad son fundamentales.
Recomendaciones
Actualizar el plugin GiveWP a una versión posterior a la 3.16.3, en la cual esta vulnerabilidad ha sido corregida.
[Callforaction-THREAT-Footer]