Expertos en seguridad recomiendan a los administradores de sitios web en WordPress que usan el plugin Ultimate Member actualizar a su versión más reciente con el fin de bloquear los intentos de explotación de algunas vulnerabilidades críticas que podrían comprometer totalmente miles de sitios web. Ultimate Member es un popular plugin que cuenta con más de 100 mil instalaciones activas.
Acorde a los especialistas de Wordfence, son tres las fallas presentes en este plugin, y su explotación permitiría a los actores de amenazas tomar control de cualquier sitio web. Después de recibir el reporte, los desarrolladores lanzaron la versión 2.1.12 de Ultimate Member, que contiene las correcciones necesarias.
Los especialistas creen que una de las tres fallas podría ser considerada crítica ya que permite a los usuarios no autenticados escalar sus privilegios en el sistema objetivo: “Cuando los actores de amenazas obtienen acceso administrativo a WordPress pueden apoderarse completamente del sitio web objetivo y realizar cualquier acción, incluyendo infecciones de malware”, menciona el reporte.
Dos de las vulnerabilidades reportadas recibieron puntajes de 10/10 según el Common Vulnerability Scoring System (CVSS), pues se trata de fallas de escalada de privilegios explotables a través de meta usuario. Por otra parte, la tercera falla recibió un puntaje de 9.8/10 debido a que su explotación requería acceso wp-admin a la página profile.php de los sitios web afectados. Esta falla también se considera de alta severidad debido a que cualquier actor de amenazas puede elevar sus privilegios con relativa facilidad.
Si bien la versión corregida del plugin fue lanzada el 26 de octubre, los expertos señalan que la versión vulnerable de la herramienta fue descargada unas 70 mil veces antes de su corrección. Se estima que alrededor de 32 mil de estas descargas siguen activas, por lo que decenas de miles de sitios web en WordPress podrían seguir expuestos a estos ataques.
Se insta a los usuarios de Ultimate Member a actualizar el complemento a 2.1.12 lo antes posible para evitar ataques diseñados para apoderarse de sitios que ejecutan versiones vulnerables de este complemento.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.