WP All Import Pro <= 4.9.3 - Falsificación de Solicitud del Lado del Servidor (SSRF) Autenticada (Administrador+) a través de la Importación de Archivos

Un atacante que explote esta vulnerabilidad podría realizar solicitudes a recursos internos que normalmente no son accesibles desde el exterior de la aplicación web. Esto podría incluir la lectura de información sensible, como credenciales de bases de datos, claves API o incluso metadatos de instancias en plataformas de nube como AWS o Google Cloud. En un entorno de nube, un atacante podría acceder a los metadatos de la instancia, lo que podría revelar información confidencial sobre la configuración del servidor y permitir el escalamiento de privilegios. La falta de validación adecuada de las URLs en la función pmxicurldownload es la causa raíz de esta vulnerabilidad.

WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.

• wordpress / plugin:

grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/

• wordpress / plugin:

wp plugin list | grep 'wp-all-import-pro'

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-By

1. 2024-12-17Disclosure

   disclosure

1. Reservado2024-10-08
2. Publicada2024-12-17
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-9624 es actualizar el plugin WP All Import Pro a la última versión disponible, que incluye la corrección de la vulnerabilidad SSRF. Si la actualización causa problemas de compatibilidad con otros plugins o temas, considere realizar una copia de seguridad completa del sitio web antes de actualizar. Como medida temporal, se puede implementar una WAF (Web Application Firewall) para bloquear solicitudes sospechosas que intenten acceder a recursos internos. Además, revise los logs del servidor en busca de patrones de tráfico inusuales que puedan indicar un intento de explotación.