Fuente base de datos: Wordfence Intelligence

Slider & Popup Builder by Depicter – Add Image Slider, Carousel Slider, Exit Intent Popup, Popup Modal, Coupon Popup, Post Slider Carousel <= 3.1.1 - Authenticated (Contributor+) Arbitrary File Upload (subida arbitraria de archivos) - version 3.1.2

PLUGIN HIGH CVE-2024-4389

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Slider & Popup Builder by Depicter' que permite la carga arbitraria de archivos para usuarios autenticados con rol de colaborador o superior. Esta falla afecta a la versión 3.1.1 y tiene una puntuación CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las cargas de archivos, lo que permite a un atacante autenticado cargar archivos maliciosos en el servidor. Esto puede comprometer la integridad del sistema y facilitar ataques adicionales.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código malicioso en el servidor, lo que podría llevar a la pérdida de datos, compromisos de seguridad y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la autenticación como usuario con privilegios adecuados y la posterior carga de un archivo malicioso a través de la funcionalidad del plugin.

Mitigación recomendada

Actualizar el plugin a la versión 3.1.2 o posterior para mitigar la vulnerabilidad. Se recomienda también revisar los permisos de usuario y aplicar medidas de seguridad adicionales en la gestión de archivos.

Señales de detección

Señales de riesgo incluyen intentos de carga de archivos sospechosos o inusuales en el servidor, así como cambios inesperados en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.2 del plugin 'Slider & Popup Builder by Depicter'.

Vulnerabilidades relacionadas

HIGH PLUGIN

lightsyncpro

LightSync Pro <= 2.1.6 - Authenticated (Author+) Arbitrary File Upload

HIGH PLUGIN

real-estate-listing-realtyna-wpl

Realtyna Organic IDX plugin + WPL Real Estate <= 5.3.0 - Authenticated (Subscriber+) Arbitrary File Upload

HIGH PLUGIN

easy-digital-downloads

Easy Digital Downloads <= 3.6.9 - Authenticated (Shop Manager+) Arbitrary File Upload via 'edd-import-file' Parameter

HIGH PLUGIN

mailster

Mailster - Email Newsletter Plugin for WordPress <= 4.1.17 - Authenticated (Editor+) Arbitrary File Upload

HIGH PLUGIN

really-simple-csv-importer

Really Simple CSV Importer <= 1.3 - Authenticated (Admin+) Arbitrary File Upload

HIGH PLUGIN

mapsvg-lite-interactive-vector-maps

MapSVG – Vector maps, Image maps, Google Maps <= 8.14.0 - Authenticated (Admin+) Arbitrary File Upload

HIGH PLUGIN

mapsvg-lite-interactive-vector-maps

MapSVG <= 8.14.0 - Authenticated (Administrator+) Arbitrary File Upload via '/mapsvg/v1/svgfile' Endpoint

HIGH PLUGIN

theme-demo-import

Theme Demo Import <= 1.1.3 - Authenticated (Admin+) Arbitrary File Upload

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto