Se han revelado vulnerabilidades críticas de seguridad en un complemento de WordPress conocido como PHP Everywhere que utilizan más de 30 000 sitios web en todo el mundo y que un atacante podría abusar de él para ejecutar código arbitrario en los sistemas afectados.
PHP en todas partes es usado para activar el código PHP en las instalaciones de WordPress, lo que permite a los usuarios insertar y ejecutar código basado en PHP en las páginas, las publicaciones y la barra lateral del sistema de administración de contenido.
Los tres problemas, todos calificados con 9.9 de un máximo de 10 en el sistema de calificación CVSS, afectan las versiones 2.0.3 e inferiores, y son los siguientes:
- CVE-2022-24663 – Ejecución remota de código por parte de suscriptores+usuarios a través de shortcode
- CVE-2022-24664 – Ejecución remota de código por parte de los usuarios de Contributor+ a través de metabox, y
- CVE-2022-24665 – Ejecución remota de código por parte de los usuarios de Contributor+ a través del bloque gutenberg
La explotación exitosa de las tres vulnerabilidades podría resultar en la ejecución de código PHP malicioso que podría aprovecharse para lograr una toma de control completa del sitio.
Empresa de seguridad de WordPress Wordfence dicho reveló las deficiencias al autor del complemento, Alexander Fuchs, el 4 de enero, luego de lo cual se emitieron actualizaciones el 12 de enero de 2022 con la versión 3.0.0 al eliminar por completo el código vulnerable.
«La actualización a la versión 3.0.0 de este complemento es un cambio importante que elimina la [php_everywhere] shortcode y widget», se lee ahora en la página de descripción actualizada del complemento. «Ejecute el asistente de actualización desde la página de configuración del complemento para migrar su código anterior a los bloques de Gutenberg».
Vale la pena señalar que la versión 3.0.0 solo admite fragmentos de PHP a través de la editor de bloqueslo que requiere que los usuarios que todavía confían en el Editor clásico para desinstalar el complemento y descargar una solución alternativa para alojar código PHP personalizado.
