Fuente base de datos: Wordfence Intelligence

RSVPMaker <= 8.7.2 - Server-Side Request Forgery (Server-Side Request Forgery (SSRF)) - version 8.7.4

PLUGIN LOW CVE-2021-24371

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin RSVPMaker, que afecta a las versiones hasta la 8.7.2. Esta vulnerabilidad, catalogada con una severidad baja, puede ser explotada para realizar solicitudes no autorizadas desde el servidor.

Contexto técnico

La vulnerabilidad SSRF permite a un atacante enviar solicitudes HTTP desde el servidor que ejecuta el plugin, lo que podría llevar a la exposición de información sensible o a la interacción con servicios internos de la red. Esta falla se encuentra en el manejo de las entradas del usuario, donde no se valida adecuadamente la URL solicitada.

Impacto potencial

Aunque la severidad de esta vulnerabilidad es baja, su explotación podría permitir a un atacante acceder a recursos internos, comprometiendo la seguridad de la instalación de WordPress y potencialmente afectando a otros sistemas conectados en la red local.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios o interfaces que permiten la entrada de URLs, lo que les permitiría redirigir solicitudes a servicios internos no expuestos al público.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin RSVPMaker a la versión 8.7.4 o superior. Además, se sugiere implementar medidas de validación más estrictas en las entradas de usuario y revisar los registros de acceso para detectar actividades inusuales.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales que intenten acceder a recursos internos o respuestas inesperadas a solicitudes que deberían ser bloqueadas por las configuraciones de seguridad.

Alcance afectado

Las versiones del plugin RSVPMaker hasta la 8.7.2 son las que se encuentran afectadas por esta vulnerabilidad. Las versiones posteriores, a partir de la 8.7.4, han corregido este problema.

Vulnerabilidades relacionadas

HIGH PLUGIN

planyo-online-reservation-system

Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter

MEDIUM PLUGIN

all-in-one-video-gallery

All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery

MEDIUM PLUGIN

geodirectory

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

utm-dot-codes

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto