Fuente base de datos: Wordfence Intelligence

All-in-One Video Gallery 2.5.8 - 2.6.0 - Arbitrary File Download & Server-Side Request Forgery en ALL IN ONE Video Gallery (Server-Side Request Forgery (SSRF)) - version 2.6.1

PLUGIN HIGH CVE-2022-2633

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo SSRF en el plugin All-in-One Video Gallery, que afecta a las versiones desde 2.5.8 hasta 2.6.0. Esta falla permite la descarga arbitraria de archivos y puede comprometer la seguridad del servidor.

Contexto técnico

La vulnerabilidad se origina en la capacidad del plugin para realizar solicitudes a servidores internos, lo que puede ser aprovechado por un atacante para acceder a recursos no expuestos públicamente. Esto se traduce en un riesgo elevado de exposición de datos sensibles y control del servidor.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que puede permitir a un atacante acceder a información confidencial y potencialmente ejecutar acciones no autorizadas en el servidor. Esto podría resultar en pérdidas económicas y daños a la reputación de la organización afectada.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas a través del plugin, lo que les permite acceder a archivos y servicios internos que deberían estar protegidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.6.1 o posterior. Además, se sugiere revisar las configuraciones de seguridad del servidor y limitar las solicitudes externas que pueden ser realizadas por los plugins.

Señales de detección

Se deben monitorizar los registros de acceso y error del servidor en busca de solicitudes inusuales o no autorizadas que intenten acceder a recursos internos. También es recomendable implementar herramientas de detección de intrusiones.

Alcance afectado

Las versiones afectadas son All-in-One Video Gallery desde la 2.5.8 hasta la 2.6.0. Las instalaciones que utilicen estas versiones están en riesgo y deben ser actualizadas de inmediato.

Vulnerabilidades relacionadas

HIGH PLUGIN

planyo-online-reservation-system

Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter

MEDIUM PLUGIN

all-in-one-video-gallery

All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery

MEDIUM PLUGIN

geodirectory

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

utm-dot-codes

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto