All-in-One WP Migration and Backup <= 7.86 - Inyección Arbitraria de Código PHP Autenticada (Administrador+)

La inyección de código PHP representa un riesgo significativo para sitios web que utilizan el plugin All-in-One WP Migration and Backup. Un atacante que explote esta vulnerabilidad podría ejecutar código malicioso en el servidor web, comprometiendo la integridad y confidencialidad de los datos. Esto podría incluir la modificación de archivos del sitio, la inserción de puertas traseras, el robo de información sensible (como credenciales de bases de datos o información de usuarios) e incluso el control total del servidor. La ejecución remota de código (RCE) permite al atacante realizar prácticamente cualquier acción que pueda realizar un usuario con privilegios de administrador, ampliando significativamente el radio de impacto. Esta vulnerabilidad comparte similitudes con otras vulnerabilidades de inyección de código, donde la falta de validación de entrada permite la ejecución de comandos no deseados.

WordPress websites utilizing the All-in-One WP Migration and Backup plugin, particularly those with administrator accounts that are not adequately secured, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "php code injection" /var/www/html/wp-content/plugins/all-in-one-wp-migration/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep "all-in-one-wp-migration"

• wordpress / composer / npm:

find /var/www/html/wp-content/uploads/ -name '*.php' -type f -mtime +7 -print

1. 2024-10-28Disclosure

   disclosure

1. Reservado2024-09-24
2. Publicada2024-10-28
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-9162 es actualizar el plugin All-in-One WP Migration and Backup a la última versión disponible. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso al archivo de exportación para evitar que atacantes puedan crear archivos .php maliciosos. Implementar reglas en el servidor web (a través de .htaccess o configuración del servidor) para bloquear la ejecución de archivos PHP en el directorio de exportaciones puede ser una medida temporal. Monitorear los logs del servidor en busca de intentos de creación de archivos .php sospechosos también puede ayudar a detectar y prevenir ataques. Después de la actualización, verificar la integridad de los archivos del sitio web y revisar los logs del servidor para detectar cualquier actividad anómala.