Due falle di sicurezza critiche che influiscono sui plugin di protezione anti-spam, anti-spam e firewall di WordPress potrebbero consentire a un aggressore non autenticato di installare e abilitare plugin dannosi su siti vulnerabili e potenzialmente ottenere l’esecuzione di codice in modalità remota.
Le vulnerabilità, tracciate come CVE-2024-10542 e CVE-2024-10781 , hanno un punteggio CVSS di 9,8 su un massimo di 10,0. Sono state risolte nelle versioni 6.44 e 6.45 rilasciate questo mese.
Installato su oltre 200.000 siti WordPress, il plugin di protezione antispam, anti-spam e firewall di CleanTalk è pubblicizzato come un “plugin anti-spam universale” che blocca commenti spam, registrazioni, sondaggi e altro ancora.
Secondo Wordfence, entrambe le vulnerabilità riguardano un problema di bypass dell’autorizzazione che potrebbe consentire a un attore malintenzionato di installare e attivare plugin arbitrari. Ciò potrebbe quindi aprire la strada all’esecuzione di codice remoto se il plugin attivato è vulnerabile di per sé.
Il plugin è “vulnerabile all’installazione arbitraria di plugin non autorizzata a causa della mancanza di un controllo del valore vuoto sul valore ‘api_key’ nella funzione ‘perform’ in tutte le versioni fino alla 6.44 inclusa”, ha affermato il ricercatore di sicurezza István Márton , riferendosi a CVE-2024-10781.
D’altro canto, CVE-2024-10542 deriva da un aggiramento dell’autorizzazione tramite reverse DNS spoofing sulla funzione checkWithoutToken().
Indipendentemente dal metodo di aggiramento, lo sfruttamento riuscito di queste due carenze potrebbe consentire a un aggressore di installare, attivare, disattivare o persino disinstallare i plugin.
Si consiglia agli utenti del plugin di assicurarsi che i loro siti siano aggiornati all’ultima versione patchata per proteggersi da potenziali minacce.
Lo sviluppo arriva mentre Sucuri ha messo in guardia contro molteplici campagne che sfruttano siti WordPress compromessi per iniettare codice dannoso responsabile del reindirizzamento dei visitatori del sito verso altri siti tramite annunci pubblicitari fasulli, furto delle credenziali di accesso e rilascio di malware che cattura le password di amministratore, reindirizza ai siti truffa VexTrio Viper ed esegue codice PHP arbitrario sul server.