Resumen ejecutivo
Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin 'Video Downloader for TikTok' versiones anteriores a la 1.4. Esta vulnerabilidad presenta un riesgo alto, con un CVSS de 8.3.
Fuente base de datos: Wordfence Intelligence
Video Downloader for TikTok < 1.4 - Server-Side Request Forgery en Downloader Tiktok (Server-Side Request Forgery (SSRF))
PLUGIN
HIGH
CVE-2020-24142
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
El fallo permite que un atacante envíe solicitudes maliciosas desde el servidor, lo que puede comprometer la seguridad del sistema al acceder a recursos internos no expuestos. La superficie de ataque se centra en la forma en que el plugin maneja las solicitudes, permitiendo interacciones no autorizadas con otros servicios.
Impacto potencial
La explotación de esta vulnerabilidad puede llevar a la filtración de información sensible, el acceso no autorizado a sistemas internos y potencialmente comprometer la integridad del servidor. Esto podría resultar en pérdidas financieras y reputacionales significativas para las organizaciones afectadas.
Vector de explotación
Los atacantes suelen aprovechar esta vulnerabilidad manipulando las solicitudes que el plugin envía, redirigiéndolas a recursos internos o externos, lo que les permite ejecutar acciones no autorizadas.
Mitigación recomendada
Se recomienda actualizar el plugin 'Video Downloader for TikTok' a la versión 1.4 o superior. Además, se sugiere realizar una auditoría de seguridad en el servidor y revisar los registros de acceso para detectar cualquier actividad sospechosa.
Señales de detección
Se deben monitorizar los registros del servidor en busca de patrones inusuales en las solicitudes, así como alertas sobre accesos a recursos internos que no deberían ser accesibles desde el exterior.
Alcance afectado
Las versiones del plugin 'Video Downloader for TikTok' anteriores a la 1.4 están afectadas. Es crucial verificar las instalaciones en uso para asegurar que estén actualizadas.
Vulnerabilidades relacionadas
HIGH
PLUGIN
planyo-online-reservation-system
Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter
MEDIUM
PLUGIN
all-in-one-video-gallery
All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter
MEDIUM
PLUGIN
wp-import-export-lite
WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter
MEDIUM
PLUGIN
paid-member-subscriptions
Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery
MEDIUM
PLUGIN
geodirectory
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery
MEDIUM
PLUGIN
kirki
Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery
MEDIUM
PLUGIN
utm-dot-codes
utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery
HIGH
PLUGIN
kargo-takip
Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto