Dos fallas de seguridad críticas que afectan a los complementos de protección contra spam, antispam y firewall de WordPress podrían permitir que un atacante no autenticado instale y habilite complementos maliciosos en sitios susceptibles y potencialmente logre la ejecución remota de código.
Las vulnerabilidades, identificadas como CVE-2024-10542 y CVE-2024-10781, tienen una puntuación CVSS de 9,8 sobre un máximo de 10,0. Se solucionaron en las versiones 6.44 y 6.45 publicadas este mes.
Instalado en más de 200.000 sitios de WordPress, el complemento de protección antispam, antispam y firewall de CleanTalk se promociona como un “complemento antispam universal” que bloquea comentarios spam, registros, encuestas y más.
Según Wordfence, ambas vulnerabilidades se refieren a un problema de omisión de autorización que podría permitir a un actor malintencionado instalar y activar complementos arbitrarios. Esto podría allanar el camino para la ejecución remota de código si el complemento activado es vulnerable por sí mismo.
Por otro lado, CVE-2024-10542 se deriva de una omisión de autorización a través de suplantación de DNS inversa en la función checkWithoutToken().
Independientemente del método de derivación, la explotación exitosa de las dos deficiencias podría permitir a un atacante instalar, activar, desactivar o incluso desinstalar complementos.
Se recomienda a los usuarios del complemento que se aseguren de que sus sitios estén actualizados a la última versión parcheada para protegerse contra posibles amenazas.