Plataforma
wordpress
Componente
post-grid
Corregido en
2.3.4
El plugin Post Grid and Gutenberg Blocks – ComboBlocks para WordPress presenta una vulnerabilidad de escalada de privilegios. Esta falla permite a atacantes no autenticados registrarse en el sitio web y obtener privilegios de administrador, comprometiendo la seguridad de la plataforma. La vulnerabilidad afecta a las versiones 2.2.85 hasta la 2.3.3. Se recomienda actualizar a la última versión disponible para mitigar el riesgo.
La vulnerabilidad de escalada de privilegios en ComboBlocks permite a un atacante no autenticado eludir los controles de acceso y registrarse en el sitio WordPress como un administrador. Esto otorga al atacante control total sobre el sitio web, incluyendo la capacidad de modificar contenido, instalar malware, acceder a datos sensibles de usuarios y realizar otras acciones maliciosas. El impacto es crítico, ya que la integridad y confidencialidad del sitio web y sus datos están en riesgo. Un atacante podría, por ejemplo, inyectar código malicioso en las páginas del sitio, redirigir a los usuarios a sitios web fraudulentos o robar información personal de los usuarios.
La vulnerabilidad CVE-2024-9636 fue publicada el 15 de enero de 2025. No se ha reportado su inclusión en el KEV de CISA al momento de la redacción. No se han identificado públicamente pruebas de concepto (PoC) activas, pero la naturaleza de la vulnerabilidad (escalada de privilegios) la convierte en un objetivo atractivo para los atacantes. Se recomienda monitorear activamente los registros del sitio web y las fuentes de inteligencia de amenazas para detectar cualquier actividad sospechosa.
Websites using the ComboBlocks plugin, particularly those with open user registration enabled, are at significant risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Sites with legacy WordPress configurations or those that haven't implemented robust security practices are particularly vulnerable.
• wordpress / composer / npm:
wp plugin list | grep ComboBlocks• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r 'update_user_meta' /var/www/html/wp-content/plugins/combo-blocks/• wordpress / composer / npm:
wp option get siteurl• wordpress / composer / npm:
wp option get homedisclosure
Estado del Exploit
EPSS
0.76% (73% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-9636 es actualizar el plugin ComboBlocks a la última versión disponible, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a la página de registro, implementar autenticación de dos factores para todos los usuarios, y monitorear los registros del sitio web en busca de actividad sospechosa. Además, se puede considerar la implementación de un Web Application Firewall (WAF) para bloquear intentos de registro maliciosos. Verifique después de la actualización que el registro de usuarios esté correctamente restringido y que los nuevos usuarios no tengan privilegios de administrador por defecto.
Actualice el plugin Post Grid and Gutenberg Blocks a la versión más reciente disponible. Esto solucionará la vulnerabilidad de escalada de privilegios que permite a usuarios no autenticados registrarse como administradores.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-9636 is a critical vulnerability allowing unauthenticated attackers to register as administrators in ComboBlocks WordPress plugin versions 2.2.85–2.3.3 due to improper user meta restrictions.
If you are using ComboBlocks plugin versions 2.2.85 through 2.3.3, you are potentially affected by this vulnerability. Check your plugin version immediately.
Upgrade the ComboBlocks plugin to the latest available version. If upgrading is not possible, temporarily disable user registration until the upgrade can be performed.
While no public exploits are currently available, the vulnerability's ease of exploitation suggests it is likely to be targeted. Proactive mitigation is recommended.
Refer to the ComboBlocks plugin website or WordPress.org plugin repository for the latest advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.