Un grup de hackers estan tractant d’explotar una vulnerabilitat en el plug-in Modern Events Calendar WordPress, que està present en més de 150.000 llocs web per a carregar arxius arbitraris en un lloc vulnerable i executar codi de manera remota.
El plug-in està desenrotllat per Webnus i s’utilitza per a organitzar i gestionar esdeveniments presencials, virtuals o híbrids.
Anàlisi
Wordfence afirma que el problema de seguretat es deu a una falta de validació del tipus d’arxiu en la funció que s’utilitza per a pujar i configurar les imatges destacades dels esdeveniments.
Les versions fins a la 7.11.0, inclusivament, no tenen comprovacions del tipus d’extensió dels arxius d’imatge pujats, de manera que permeten pujar qualsevol tipus d’arxiu, inclosos els arriscats arxius .PHP.
Una vegada pujats, es pot accedir a estos arxius i executar-los, la qual cosa permet l’execució remota de codi en el servidor i, potencialment, el control total del lloc web.
Se vos ha assignat l’identificador CVE-2024-5441 i s’ha categoritzat com a alta amb un CVSS v3.1 de 8.8.
Versions afectades
Versions anteriors a la 7.11.0, esta inclosa.
Recomanacions
Actualitzar a la versió 7.12.0
Referencias