Se ha descubierto que un complemento de WordPress que publica automáticamente contenido raspado de otros sitios web para contener una vulnerabilidad crítica que permite a cualquier persona cargar archivos maliciosos a los sitios web afectados. La seriedad de la vulnerabilidad se clasifica en 9.8 en una escalera de 1-10.
Complemento de creador de poste de raspador multisitio de Crawlomatic para WordPress
El complemento Crawlomatic WordPress se vende a través de la tienda Envato Codecanyon por $ 59 por inmoralidad. Permite a los usuarios rastrear foros, estadísticas meteorológicas, artículos de RSS Feeds y raer directamente el contenido de otros sitios web y luego divulgar automáticamente el contenido en el sitio web del sucesor.
La página web de Codecanyon de Envato del complemento presenta una pancarta que señala que el autor del complemento ha sido agradecido por suceder cumplido con los “estándares de calidad de WordPress” y muestra una insignia que indica que los requisitos de envidia de Word “cumplen”, una indicación de que cumple con los estándares de “seguridad, calidad, rendimiento y codificación de Envato en los complementos y temas de WordPress”.
La página del directorio del complemento explica que puede rastrear y raer prácticamente cualquier sitio web, incluidos los sitios basados en JavaScript, prometiendo que puede convertir el sitio web de un sucesor en una “máquina de hacer moneda”.
Carga de archivos arbitraria no autenticada
Al complemento Crawlomatic WordPress le descuido una comprobación de garra del tipo de archivo en toda la interpretación antaño e incluyendo la interpretación 2.6.8.1.
Según una advertencia publicada en Wordfence:
“El complemento de creador de postes de rascador multipage de Crawrawomatic para WordPress es pasivo a las cargas de archivos arbitrarias adecuado a la garra de tipo de archivo faltante en la función Crawlomatic_Generate_Featued_image () en todas las versiones que superan, e incluye, 2.6.8.1. Esto hace posible para los atacantes no superalicotados para cargar archivos parcial en el sitio afectado que puede hacer que el ejecutante de código remoto sea posible.
WordFence recomienda a los usuarios del complemento para poner al día a al menos la interpretación 2.6.8.2.
Lea más en WordFence:
Imagen destacada de Shutterstock/Nakaridore