Una vulnerabilidad de gravedad crítica ha sido identificada en el complemento Backup Migration de WordPress, que cuenta con más de 90.000 instalaciones activas. Esta brecha permite a los atacantes obtener la ejecución remota de código (RCE), lo cual puede llevar al compromiso completo de los sitios web afectados.
Detalles de la vulnerabilidad
La vulnerabilidad, identificada como CVE-2023-6553 y con una puntuación de gravedad de 9,8/10, fue descubierta por el equipo de cazadores de errores Nex Team. El error fue reportado a Wordfence en el marco de un programa de recompensas por errores lanzado recientemente.
El complemento Backup Migration ayuda a los administradores a automatizar las copias de seguridad del sitio, permitiendo almacenar datos localmente o en una cuenta de Google Drive. La vulnerabilidad afecta todas las versiones del complemento hasta la 1.3.6 incluida.
Los atacantes no autenticados pueden explotar esta brecha mediante ataques de baja complejidad sin necesidad de interacción previa por parte del usuario. La vulnerabilidad permite la inyección de código PHP a través del archivo /includes/backup-heart.php, lo que facilita la ejecución remota de código.
Reacción y parche
Wordfence informó la falla crítica al equipo de desarrollo BackupBliss el 6 de diciembre. Los desarrolladores lanzaron un parche horas después, incluido en la versión 1.3.8 del complemento.
A pesar del parche, casi 50.000 sitios web que utilizan versiones vulnerables aún no han sido actualizados una semana después de su lanzamiento. Las estadísticas de descarga de WordPress.org muestran que la mayoría de los usuarios sigue utilizando versiones anteriores.
Recomendaciones y amenazas adicionales
Se recomienda a los administradores proteger sus sitios web contra ataques relacionados con CVE-2023-6553, ya que se trata de una vulnerabilidad crítica. Los atacantes pueden explotarla sin necesidad de credenciales.
También se ha detectado una campaña de phishing que intenta engañar a los administradores para que instalen complementos maliciosos. Esta campaña utiliza avisos falsos de seguridad de WordPress, relacionados con la vulnerabilidad ficticia CVE-2023-45124.
Además, WordPress ha solucionado recientemente una vulnerabilidad de cadena de Programación Orientada a Propiedades (POP), que podría permitir la ejecución arbitraria de código PHP bajo ciertas condiciones, especialmente en instalaciones multisitio.