Zero-Day afeta Plugins Premium no WordPress
23 de Janeiro de 2025

O tema RealHome e os plugins Easy Real Estate para WordPress estão vulneráveis a duas falhas críticas que permitem a usuários não autenticados obter privilégios administrativos.

Embora as duas falhas tenham sido descobertas em setembro de 2024 pela Patchstack, e várias tentativas tenham sido feitas para entrar em contato com o fornecedor (InspiryThemes), os pesquisadores dizem que não receberam uma resposta.

Além disso, a Patchstack informa que o fornecedor lançou três versões desde setembro, mas nenhum patch de segurança para resolver os problemas críticos foi introduzido.

Portanto, os problemas permanecem sem correção e exploráveis.

O tema RealHome e o plugin Easy Real Estate estão entre os temas e plugins mais populares projetados para uso em sites imobiliários.

Segundo dados do Envanto Market, o tema RealHome é usado em 32.600 sites.

A primeira falha, que impacta o tema RealHome, é um problema de escalada de privilégios não autenticados rastreado como CVE-2024-32444 (pontuação CVSS: 9.8).

O tema permite que usuários registrem novas contas por meio da função inspiry_ajax_register, no entanto, não verifica adequadamente a autorização ou implementa uma validação de nonce.

Se o registro estiver habilitado no site, os atacantes podem especificar arbitrariamente seu papel como "Administrador" em uma solicitação HTTP especialmente criada para a função de registro, essencialmente ignorando as verificações de segurança.

Uma vez registrados como administradores, o atacante pode, subsequentemente, obter controle total do site WordPress, incluindo realizar manipulação de conteúdo, plantar scripts e acessar dados de usuários ou outras informações sensíveis.

A falha que impacta o plugin Easy Real Estate é outro problema de escalada de privilégios não autenticados através do login social.

Está rastreada sob o CVE-2024-32555 (pontuação CVSS: 9.8).

O problema advém do recurso de login social, que permite aos usuários entrar usando seu endereço de email sem verificar se pertence à pessoa que faz a solicitação.

Como resultado, se um atacante conhece o endereço de email de um administrador, ele pode fazer login sem precisar de uma senha.

As repercussões da exploração bem-sucedida são semelhantes às do CVE-2024-32444.

Como nenhum patch foi lançado ainda pela InspiryThemes, os proprietários e administradores de sites que usam o referido tema ou plugin devem desativá-los imediatamente.

Restringir o registro de usuários nos sites afetados também poderia evitar a criação de contas não autorizadas, limitando o potencial para exploração.

Como os problemas nos dois add-ons agora são públicos, os atores de ameaças estão destinados a explorar seu potencial e escanear por sites vulneráveis, então responder rapidamente para mitigar a ameaça é crucial neste momento.

Publicidade

Proteja sua empresa contra hackers através de um Pentest

Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...