WordPress Core < 5.9.2 & Gutenberg < 12.7.2 - Prototype Pollution via Block Editor (vulnerabilidad) - version 3.7.38

Resumen ejecutivo

Se ha identificado una vulnerabilidad de contaminación de prototipos en el núcleo de WordPress y Gutenberg, que afecta a versiones anteriores a la 5.9.2 y 12.7.2, respectivamente. Esta vulnerabilidad presenta un nivel de severidad medio, con un CVSS de 5.4.

Contexto técnico

El fallo se origina en el editor de bloques, donde un atacante puede manipular objetos JavaScript, lo que puede llevar a la ejecución de código malicioso. La superficie de ataque se centra en las interacciones del usuario con el editor de bloques, lo que facilita la explotación mediante entradas manipuladas.

Impacto potencial

Si se explota, esta vulnerabilidad podría permitir a un atacante modificar el comportamiento de la aplicación, comprometiendo la integridad de los datos y la seguridad del sitio. Esto podría resultar en la pérdida de confianza por parte de los usuarios y daños en la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la inyección de datos manipulados en el editor de bloques, lo que les permite alterar el comportamiento de la aplicación sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar WordPress a la versión 5.9.2 o superior y Gutenberg a la versión 12.7.2 o superior. Además, se sugiere revisar las configuraciones de seguridad y aplicar prácticas de hardening en el entorno de WordPress.

Señales de detección

Señales de riesgo pueden incluir comportamientos inusuales en el editor de bloques, modificaciones inesperadas en los objetos JavaScript y alertas de seguridad de plugins relacionados con la protección de WordPress.

Alcance afectado

Las versiones de WordPress anteriores a la 5.9.2 y Gutenberg anteriores a la 12.7.2 están afectadas. Es crucial que los administradores de sitios verifiquen sus versiones para asegurar que están protegidos contra esta vulnerabilidad.