Fuente base de datos: Wordfence Intelligence

WP Meta SEO <= 4.5.2 - Missing Authorization in 'startProcess' to Arbitrary Redirect via 'update_link_redirect' task (falta de autorizacion) - version 4.5.3

PLUGIN HIGH CVE-2023-0876

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Meta SEO, que permite redirecciones arbitrarias debido a una falta de autorización en la función 'startProcess'. Esta vulnerabilidad, catalogada con un CVSS de 7.1, afecta a las versiones hasta la 4.5.2 y fue publicada el 24 de febrero de 2023.

Contexto técnico

La vulnerabilidad se origina en la ausencia de controles de autorización en el método 'startProcess', lo que permite a un atacante realizar redirecciones no autorizadas a través de la tarea 'update_link_redirect'. Esto expone el sitio a posibles ataques de phishing y manipulación del tráfico.

Impacto potencial

El impacto en la seguridad y el negocio puede ser significativo, ya que un atacante podría redirigir a los usuarios a sitios maliciosos, comprometiendo la integridad del sitio y la confianza de los usuarios. Esto podría resultar en pérdida de datos, daños a la reputación y penalizaciones en motores de búsqueda.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante envíe solicitudes maliciosas a la función vulnerable 'startProcess', aprovechando la falta de autorización para redirigir a los usuarios a URLs controladas por el atacante.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WP Meta SEO a la versión 4.5.3 o superior. Además, se sugiere revisar las configuraciones de seguridad y aplicar prácticas de hardening en la instalación de WordPress.

Señales de detección

Las señales de posible explotación incluyen redirecciones inusuales en el sitio, cambios inesperados en la configuración del plugin y registros de actividad sospechosa en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.5.3 del plugin WP Meta SEO. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-meta-seo