Fuente base de datos: Wordfence Intelligence

ZM Ajax Login & Register <= 2.0.2 - Authentication Bypass en ZM Ajax Login Register (bypass de autenticacion)

PLUGIN CRITICAL CVE-2023-2027

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La vulnerabilidad crítica identificada en el plugin ZM Ajax Login & Register permite eludir la autenticación, lo que podría comprometer la seguridad de las instalaciones afectadas. Esta falla afecta a todas las versiones hasta la 2.0.2, lanzada el 14 de abril de 2023.

Contexto técnico

El fallo de elusión de autenticación en ZM Ajax Login & Register se debe a una incorrecta validación de las credenciales de usuario. Esto permite a un atacante acceder a áreas restringidas sin proporcionar las credenciales adecuadas, exponiendo así la superficie de ataque del sitio web.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en accesos no autorizados a información sensible, comprometiendo la integridad y confidencialidad de los datos del negocio. Además, podría dar lugar a ataques adicionales, como la inyección de malware o la manipulación de contenido.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que eluden la autenticación, permitiéndoles acceder a funcionalidades restringidas del plugin sin necesidad de credenciales válidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin ZM Ajax Login & Register a la versión 2.0.2 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como limitar el acceso a la página de inicio de sesión y utilizar autenticación de dos factores.

Señales de detección

Señales de posible explotación incluyen intentos de acceso no autorizado a áreas restringidas del sitio, así como registros de actividad inusual en los intentos de inicio de sesión.

Alcance afectado

Todas las instalaciones que utilicen ZM Ajax Login & Register en versiones anteriores o iguales a 2.0.2 están en riesgo. Se recomienda verificar la versión instalada del plugin.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto