Se ha descubierto una vulnerabilidad crítica de seguridad que afecta al plugin LayerSlider para WordPress y podría ser utilizada para extraer información sensible de las bases de datos, como los hashes de contraseñas.

La vulnerabilidad, designada como CVE-2024-2879, tiene una puntuación CVSS de 9.8 sobre un máximo de 10.0. Se ha descrito como un caso de inyección SQL que afecta a las versiones desde 7.9.11 hasta 7.10.0.

El problema ha sido abordado en la versión 7.10.1 lanzada el 27 de marzo de 2024, tras una divulgación responsable el 25 de marzo. “Esta actualización incluye correcciones de seguridad importantes”, dijeron los mantenedores de LayerSlider en sus notas de lanzamiento.

LayerSlider es un editor visual de contenido web, un software de diseño gráfico y efectos visuales digitales que permite a los usuarios crear animaciones y contenido rico para sus sitios web. Según su propio sitio, el plugin es utilizado por “millones de usuarios en todo el mundo”.

Seguridad Cibernética La vulnerabilidad descubierta en la herramienta se deriva de un caso de escape insuficiente de los parámetros proporcionados por el usuario y la ausencia de wpdb::prepare(), lo que permite a atacantes no autenticados agregar consultas SQL adicionales y obtener información sensible, según Wordfence.

Dicho esto, la forma en que se estructura la consulta limita la superficie de ataque a un enfoque basado en el tiempo, donde un adversario necesitaría observar el tiempo de respuesta de cada solicitud para robar información de la base de datos.

Este desarrollo sigue al descubrimiento de una vulnerabilidad de scripting entre sitios almacenada sin autenticación (XSS) en el plugin de membresía WP-Members (CVE-2024-1852, puntuación CVSS: 7.2) que podría facilitar la ejecución de código JavaScript arbitrario. Se ha resuelto en la versión 3.4.9.3.

Vulnerabilidad de Seguridad en WordPress La vulnerabilidad, debido a una sanitización de entrada insuficiente y un escape de salida, “hace posible que los atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada que es la página de edición de usuarios”, dijo la empresa de seguridad de WordPress.

Si el código se ejecuta en el contexto de la sesión del navegador de un administrador, puede ser utilizado para crear cuentas de usuario fraudulentas, redirigir visitantes del sitio a otros sitios maliciosos y llevar a cabo otros ataques, agregó.

En las últimas semanas, también se han divulgado vulnerabilidades de seguridad en otros plugins de WordPress como Tutor LMS (CVE-2024-1751, puntuación CVSS: 8.8) y Contact Form Entries (CVE-2024-2030, puntuación CVSS: 6.4) que podrían ser explotadas para la divulgación de información e inyección de scripts web arbitrarios, respectivamente.