Unos 200.000 sitios web basados en WordPress utilizan el plugin «Ultimate Member». Este plugin presenta una vulnerabilidad crítica parcheada en la última versión (versión 2.6.7) lanzada el 1 de Julio.
Vulnerabilidad y riesgos
La vulnerabilidad permite la creación de cuentas secretas de administrador. La funcionalidad del plugin incluye la creación de perfiles de usuario y comunidades, así como otras funciones de gestión de cuentas.
El fallo ha sido catalogado como «CVE-2023-3460» con una puntuación CVSS de 9,8. La vulnerabilidad afecta a las versiones anteriores a la 2.6.6. Los atacantes sin autentificar pueden explotar esta vulnerabilidad para crear nuevas cuentas de usuarios con privilegios de administrador y tomar el control total del sitio web afectado.
Detalles técnicos
Los detalles técnicos sobre la vulnerabilidad todavía no se han hecho públicos. El fallo deriva de una lógica inadecuada en la lista de bloqueos utilizada para alterar el valor «wp_capabilities» de los «user meta values» de un nuevo usuario al de un administrador.
Investigación y revelación
Chloe Chamberland, investigadora de WordFence, ha detallado que existen métodos triviales de eludir los filtros establecidos. Este problema salió a la luz después de que aparecieran distintos informes sobre cuentas de administrador fraudulentas que se iban añadiendo a los sitios afectados.
Correcciones y parches
Los responsables del plugin publicaron parches con correcciones parciales en las versiones 2.6.4, 2.6.5 y 2.6.6. La versión 2.6.7 soluciona el fallo de seguridad.
Recomendaciones
Se recomienda actualizar a la versión 2.6.7 para sitios web que usen este plugin. Los responsables tienen previsto incluir una nueva función que permitirá a los administradores restablecer las contraseñas de todos los usuarios.