Según Patchstack, se han encontrado múltiples vulnerabilidades de seguridad en el complemento WooCommerce Amazon Affiliates (WZone). Este complemento premium de WordPress, desarrollado por AA-Team y con más de 35.000 ventas, está diseñado para ayudar a los propietarios de sitios y blogueros a monetizar sus sitios web a través del programa de afiliados de Amazon. Las vulnerabilidades identificadas son graves y afectan a todas las versiones probadas, incluida la versión 14.0.10 y potencialmente a las de la versión 14.0.20 en adelante. Uno de los problemas críticos es una vulnerabilidad de actualización de opción arbitraria autenticada, asignada CVE-2024-33549. Esta falla permite a los usuarios autenticados actualizar opciones arbitrarias de WP, lo que podría conducir a una escalada de privilegios. Esta vulnerabilidad, que aún no se ha corregido, podría permitir a los atacantes obtener acceso de nivel superior al sitio de WordPress, lo que plantea importantes riesgos de seguridad. Además, el estudio de Patchstack encontró dos tipos de vulnerabilidades de inyección SQL, tanto no autenticadas como autenticadas, asignadas CVE-2024-33544 y CVE-2024-33546, respectivamente. Estas vulnerabilidades permiten que usuarios autenticados y no autenticados inyecten consultas SQL maliciosas en la base de datos de WordPress, lo que lleva a violaciones o manipulación de datos. La gravedad de estas fallas resalta la necesidad de una acción inmediata por parte de los administradores del sitio que utilizan este complemento. Patchstack ha aconsejado a los usuarios que desactiven y eliminen el complemento WZone debido a la ausencia de una versión parcheada. Lea más sobre seguridad SQL: Cómo hacer una copia de seguridad y restaurar la base de datos en SQL Server A pesar de los intentos informados de Patchstack de comunicarse con el proveedor, no se recibió respuesta, lo que llevó a la empresa a publicar las vulnerabilidades y proporcionar medidas de protección para sus usuarios. “Lo más importante a la hora de implementar una acción o proceso es aplicar el permiso o rol y la validación nonce. El permiso o la verificación de roles se pueden validar usando la función current_user_can y el valor nonce se puede validar usando wp_verify_nonce o check_ajax_referer”, se lee en el artículo técnico. «Para el proceso de consulta SQL, siempre haga un escape y formato seguros para la entrada del usuario antes de realizar una consulta, y nunca dé acceso arbitrario a los usuarios para actualizar las tablas en la base de datos». Crédito de la imagen: T. Schneider/Shutterstock.com