Sitios de WordPress expuestos a ataques ejecución de código remoto-RCE por error crítico en el complemento de copia de seguridad
AS-073-2023
Fecha: 12/Dic/2023
Resumen:
Una vulnerabilidad de severidad crítica (CVE-2023-6553) en un plugin de WordPress en versiones menores a 1.3.7 (incluso por medio del archivo /includes/backup-heart.php), la cual cuenta con más de 90.000 instalaciones, permite a los atacantes la ejecución remota de código para comprometer completamente los sitios web vulnerables. Conocido como Backup Migration, el plugin ayuda a los administradores a automatizar las copias de seguridad del sitio en el almacenamiento local o en una cuenta de Google Drive.
Tener cuidado cuando se aplica el parche.
Los administradores de WordPress también están siendo objeto de una campaña de phishing que intenta engañarlos para que instalen complementos maliciosos utilizando avisos de seguridad falsos de WordPress para una vulnerabilidad ficticia rastreada como CVE-2023-45124.
Recomendación:
Wordfence informó de la falla de seguridad crítica el 6 de diciembre, los desarrolladores lanzaron el parche horas después, por lo que se recomienda aplicar el parche del plugin, la versión Backup Migration 1.3.8. es la corregida.
Referencias:
