Plataforma
wordpress
Componente
wp-popup-builder
Corregido en
1.3.6
La vulnerabilidad CVE-2024-9061 afecta al plugin WP Popup Builder – Popup Forms and Marketing Lead Generation para WordPress. Esta vulnerabilidad permite la ejecución arbitraria de shortcodes a través de la acción AJAX wpajaxnoprivshortcodeApi_Add, lo que podría permitir a atacantes no autenticados ejecutar código malicioso. Las versiones afectadas son aquellas iguales o inferiores a 1.3.5. La vulnerabilidad se mitigó parcialmente en la versión 1.3.5 con una verificación de nonce, pero la solución completa se implementó en la versión 1.3.6.
Un atacante puede explotar esta vulnerabilidad para inyectar y ejecutar shortcodes arbitrarios en el sitio WordPress. Esto podría resultar en la ejecución de código malicioso en el servidor, la modificación de contenido del sitio, la redirección de usuarios a sitios maliciosos o el robo de información confidencial. La ejecución de shortcodes arbitrarios permite a un atacante controlar el comportamiento del sitio web, potencialmente comprometiendo la integridad y la confidencialidad de los datos. La falta de autenticación necesaria para explotar esta vulnerabilidad aumenta significativamente el riesgo, ya que cualquier usuario anónimo puede intentar la explotación.
La vulnerabilidad fue publicada el 16 de octubre de 2024. No se ha reportado explotación activa en campañas conocidas, pero la falta de autenticación necesaria para la explotación la convierte en un objetivo atractivo. Se recomienda monitorear los foros de seguridad y las fuentes de inteligencia de amenazas para detectar cualquier actividad sospechosa. La vulnerabilidad no se encuentra en el KEV de CISA al momento de la redacción.
Websites utilizing the WP Popup Builder plugin, particularly those running older versions (≤1.3.5), are at risk. Shared hosting environments are especially vulnerable as they often lack granular plugin management controls, making it easier for attackers to exploit vulnerabilities across multiple sites.
• wordpress / composer / npm:
grep -r 'wp_ajax_nopriv_shortcode_Api_Add' /var/www/html/wp-content/plugins/wp-popup-builder/• wordpress / composer / npm:
wp plugin list --status=all | grep 'wp-popup-builder'• wordpress / composer / npm:
wp plugin update wp-popup-builder --alldisclosure
Estado del Exploit
EPSS
89.00% (100% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin WP Popup Builder a la versión 1.3.6 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Deshabilitar temporalmente la acción AJAX wpajaxnoprivshortcodeApiAdd podría reducir el riesgo, aunque esto podría afectar la funcionalidad del plugin. Además, se recomienda revisar los logs del servidor en busca de actividad sospechosa relacionada con la ejecución de shortcodes. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que la acción AJAX wpajaxnoprivshortcodeApiAdd ahora requiere una verificación de nonce válida.
Actualice el plugin WP Popup Builder a la versión 1.3.6 o superior. Esta versión corrige la vulnerabilidad de ejecución de shortcodes arbitrarios no autenticados.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-9061 is a vulnerability in the WP Popup Builder plugin for WordPress that allows unauthenticated attackers to execute arbitrary shortcodes due to insufficient input validation.
Yes, if you are using WP Popup Builder version 1.3.5 or earlier, you are vulnerable to this arbitrary shortcode execution vulnerability.
Upgrade the WP Popup Builder plugin to version 1.3.6 or later to remediate the vulnerability. If upgrading is not immediately possible, temporarily disable the plugin.
While no active exploitation campaigns have been definitively confirmed, the ease of exploitation suggests a potential for widespread attacks.
Refer to the official WP Popup Builder website and WordPress plugin repository for the latest advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.