La base de datos nacional de vulnerabilidades (NVD) de los Estados Unidos anunció que el complemento WordPress Thirsty Affiliate Link Manager tiene dos vulnerabilidades que pueden permitir que un hacker inserte enlaces. Además, el complemento no tiene verificación cruzada de falsificación, lo que puede llevar a un compromiso completo del sitio web de la víctima.
Complemento del administrador de enlaces de ThirstyAffiliates
El complemento de WordPress ThirstyAffiliates Link Manager proporciona herramientas de administración de enlaces de afiliados. Los enlaces de afiliados cambian constantemente, y una vez que un enlace se vuelve obsoleto, el afiliado no ganará dinero con ese enlace.
El complemento del administrador de enlaces de afiliados de WordPress resuelve este problema al proporcionar una forma de administrar los enlaces de afiliados en una sola área del panel de administración de WordPress, lo que facilita cambiar las URL de destino en el sitio editando un enlace.
La herramienta le permite agregar enlaces de afiliados a su contenido a medida que se escribe el contenido.
Vulnerabilidad en el complemento de WordPress ThirstyAffiliate Link Manager
La base de datos nacional de vulnerabilidades (NVD) de EE. UU. ha descrito dos vulnerabilidades que permiten a cualquier usuario que haya iniciado sesión, incluidos los usuarios de nivel de suscripción, crear enlaces de afiliados y también cargar imágenes de enlaces que pueden dirigirse a usuarios que hacen clic en enlaces a cualquier sitio web.
El NVD describe vulnerabilidad:
CVE-2022-0398
«El complemento ThirstyAffiliates Affiliate Link Manager anterior a 3.10.5 no tiene autorización y verificación CSRF al crear enlaces de afiliados, lo que podría permitir que cualquier usuario autenticado, como el suscriptor, cree enlaces de afiliados arbitrarios, que luego podrían usarse para redirigir a los usuarios a un sitio arbitrario».
CVE-2022-0634
«El complemento de WordPress ThirstyAffiliates Affiliate Link Manager anterior a 3.10.5 no tiene verificaciones de autorización en ta_insert_external_image, lo que permite a un usuario privilegiado (con un rol mínimo como Suscriptor) agregar una imagen desde una URL externa a un enlace de afiliado.
Además, el complemento no tiene controles CSRF, lo que permite que un atacante engañe a un usuario conectado para que realice la acción mediante la creación de una solicitud especial. «
Falsificación de aplicaciones en varios sitios
Un ataque de falsificación entre sitios es aquel que hace que un usuario registrado realice un pedido arbitrario en un sitio web a través del navegador utilizado por el visitante del sitio.
En un sitio web que no tiene controles CSRF, el sitio web no puede diferenciar entre un navegador que muestra cookies de un usuario conectado y una solicitud autenticada falsa (autenticado significa autenticación).
Si el usuario que ha iniciado sesión tiene acceso de administrador, el ataque puede conducir a una toma de control completa del sitio, ya que todo el sitio está comprometido.
Se recomienda que actualice el complemento ThirstyAffiliates Link Manager
El complemento ThirstyAffiliates ha lanzado un parche para las dos vulnerabilidades. Puede ser prudente actualizar a la versión más segura del complemento, 3.10.5.
citado
Lea los avisos oficiales de vulnerabilidad de NVD
Lea los detalles sobre la vulnerabilidad de WP Scan y revise la Prueba de conceptos
ThirstyAffiliates <3.10.5 - Suscriptor + Carga de imagen no autorizada + CSRF
Fuente: searchenginejournal
Hashtags: #Vulnerabilidad #complemento #WordPress #ThirstyAffiliates
Comentarios recientes