El tema RealHome y los complementos Easy Real Estate para WordPress son vulnerables a dos vulnerabilidades de gravedad crítica que permiten a los usuarios no autenticados obtener privilegios administrativos.
Aunque las dos fallas fueron descubiertas en septiembre de 2024 por Pila de parchesy se hicieron varios intentos de contactar al proveedor (InspiryThemes), los investigadores afirman no haber recibido respuesta.
Además, Patchstack dice que el proveedor ha lanzado tres versiones desde septiembre, pero no se han introducido parches de seguridad para abordar problemas críticos. Por lo tanto, los problemas siguen sin resolverse y son susceptibles de solución.
Detalles de vulnerabilidad
RealHome Theme y Easy Real Estate son algunos de los temas y complementos más populares diseñados para su uso en sitios web de bienes raíces. Según los datos de Envanto Market, el tema RealHome se utiliza en 32.600 sitios web.
El primer defecto, que afecta al tema RealHome, es un problema de escalada de privilegios no autenticado registrado como CVE-2024-32444 (puntuación CVSS: 9,8).
El tema permite a los usuarios registrar nuevas cuentas a través de la función inspiry_ajax_register; sin embargo, no verifica adecuadamente la autorización ni implementa una validación casual.
Si la grabación está habilitada en el sitio web, los atacantes pueden especificar arbitrariamente su rol de “administrador” en una solicitud HTTP especialmente diseñada para la función de grabación, evitando así los controles de seguridad.
Una vez registrado como administrador, el atacante puede tomar el control total del sitio de WordPress, incluida la manipulación del contenido, la falla de los scripts y el acceso a los datos del usuario u otros datos confidenciales.
La falla del complemento Easy Real Estate es otro problema de escalada de privilegios no autenticados a través del inicio de sesión social. Tiene un seguimiento según CVE-2024-32555 (puntuación CVSS: 9,8).
El problema radica en la función de inicio de sesión social, que permite a los usuarios iniciar sesión utilizando su dirección de correo electrónico sin comprobar si pertenece a la persona que realiza la solicitud.
Por lo tanto, si un atacante conoce la dirección de correo electrónico de un administrador, puede iniciar sesión sin necesidad de contraseña. Los impactos de una explotación exitosa son similares a CVE-2024-32444.
Recomendaciones de mitigación
Como InspiryThemes aún no ha publicado ninguna solución, los propietarios y administradores de sitios web que utilicen dicho tema o complemento deben desactivarlos de inmediato.
Restringir el registro de usuarios en los sitios web afectados también evitaría la creación de cuentas no autorizadas, limitando así el potencial de explotación.
Como los problemas de ambos complementos ahora son públicos, los actores de amenazas se ven obligados a explorar su potencial y buscar sitios web vulnerables. Por lo tanto, es crucial responder rápidamente para mitigar la amenaza en esta etapa.