Fuente base de datos: Wordfence Intelligence

AI Power: Complete AI Pack <= 1.8.96 - Authenticated (Subscriber+) Server-Side Request Forgery en Gpt3 AI Content Generator (Server-Side Request Forgery (SSRF)) - version 1.8.97

PLUGIN MEDIUM CVE-2024-13360

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin 'AI Power: Complete AI Pack' en versiones hasta la 1.8.96. Esta falla permite a usuarios autenticados realizar peticiones no autorizadas desde el servidor, lo que podría comprometer la seguridad del sistema.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes internas, permitiendo que un atacante autenticado envíe peticiones maliciosas que pueden interactuar con servicios internos o externos, exponiendo información sensible o permitiendo acciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información confidencial, manipulación de datos y potencialmente comprometer la integridad del sistema. Esto puede resultar en daños a la reputación y pérdidas económicas para las empresas afectadas.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de solicitudes maliciosas desde una cuenta de usuario autenticada, lo que permite al atacante eludir controles de seguridad más estrictos.

Mitigación recomendada

Actualizar el plugin 'AI Power: Complete AI Pack' a la versión 1.8.97 o superior. Además, se recomienda revisar los registros de actividad y aplicar medidas de seguridad adicionales como la restricción de acceso a recursos sensibles.

Señales de detección

Señales de riesgo incluyen registros de actividad inusuales, intentos de acceso a recursos internos desde cuentas de usuario autenticadas y alertas de sistemas de seguridad que detecten patrones de tráfico anómalos.

Alcance afectado

Las versiones del plugin 'AI Power: Complete AI Pack' hasta la 1.8.96 están afectadas. Se recomienda a los usuarios que verifiquen sus instalaciones y realicen la actualización correspondiente.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

independent-analytics

Independent Analytics <= 2.14.9 - Unauthenticated Server-Side Request Forgery via Tracking Route

MEDIUM PLUGIN

fluent-crm

FluentCRM <= 2.9.87 - Unauthenticated Blind Server-Side Request Forgery via 'SubscribeURL' Parameter

MEDIUM PLUGIN

nexa-blocks

Nexa Blocks <= 1.1.1 - Unauthenticated Blind Server-Side Request Forgery via 'demo_json_file' Parameter

MEDIUM PLUGIN

gutenverse

Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem <= 3.5.3 - Authenticated (Contributor+) Server-Side Request Forgery via 'imageUrl'

MEDIUM THEME

ona

Ona <= 1.26 - Authenticated (Administrator+) Blind Server-Side Request Forgery via 'download_link' Parameter

HIGH PLUGIN

pixelyoursite-pro

PixelYourSite Pro <= 12.5.0.1 - Unauthenticated Blind Server-Side Request Forgery via 'urls[]' Parameter

HIGH PLUGIN

royal-elementor-addons

Royal Addons for Elementor <= 1.7.1057 - Authenticated (Contributor+) Server-Side Request Forgery via CSV URL Parameter

MEDIUM PLUGIN

gpt3-ai-content-generator

Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto