Los delincuentes informáticos están aprovechando una vulnerabilidad recientemente corregida en el complemento Advanced Custom Fields (ACF) de WordPress. Esta brecha, identificada como CVE-2023-30777, fue descubierta y publicada aproximadamente 24 horas después de que se hiciera disponible una prueba de concepto (PoC). Se recomienda actualizar inmediatamente a la versión v6.1.6 del plugin.
Vulnerabilidad de alta gravedad
La vulnerabilidad es un error de XSS reflejado que permite a los atacantes no autenticados robar información confidencial y aumentar sus privilegios en sitios web afectados. La brecha fue descubierta por la empresa de seguridad Patchstack el 2 de mayo de 2023, y se reveló junto con un PoC el 5 de mayo.
El proveedor del complemento publicó una actualización de seguridad con la versión v6.1.6 un día antes de que se liberara el PoC. Sin embargo, los atacantes ya habían comenzado a explotar la vulnerabilidad en cuestión de horas.
Actividad de explotación detectada
El Grupo de inteligencia de seguridad (SIG) de Akamai informó que desde el 6 de mayo se observó una actividad significativa de exploración y explotación utilizando el código de muestra proporcionado por Patchstack. El actor de amenazas utilizó directamente el código del PoC publicado en el informe de la empresa.
Superficie de ataque amplia
Más de 1,4 millones de sitios web que utilizan el complemento afectado no se han actualizado a la última versión. Según las estadísticas de wordpress.org, esta cifra representa una superficie de ataque considerable para los actores maliciosos.
Requisitos y mitigaciones
La vulnerabilidad requiere que un usuario haya iniciado sesión y tenga acceso al complemento para ejecutar código malicioso en su navegador. Aunque este factor puede servir como una mitigación, los actores de amenazas confían en superarlo mediante trucos básicos o ingeniería social.
Además, el exploit funciona en las configuraciones predeterminadas de las versiones afectadas del complemento. Esto aumenta las posibilidades de éxito sin requerir esfuerzos adicionales por parte de los atacantes.
Recomendación
Se insta a los administradores de sitios web que utilizan el plugin vulnerable a aplicar inmediatamente el parche disponible para protegerse de la actividad de explotación en curso.