La división de seguridad de WordPress, Wordfence, ha advertido sobre una vulnerabilidad ya parcheada encontrada en el complemento LayerSlider, que puede haber afectado a de más de un millón de sitios web permitiendo acceder a información personal desde su base de datos.
LayerSlider es una complemento utilizado en WordPress para crear contenido animado en los sitios web, como controles deslizantes, galerías de imágenes o animaciones dinámicas. En este sentido, el investigador AmrAwad ha descubierto una vulnerabilidad de tipo inyección SQL (SQLi) en dicho complemento, que los actores maliciosos pueden explotar para extraer datos confidenciales.
En concreto, SQLi es una fallo de seguridad web que permite a los atacantes manipular una base de datos utilizando un trozo de código SQL, esto es, un lenguaje que se utiliza en programación para modificar y eliminar la información almacenada en bases de datos. De esta forma, los ciberdelincuentes pueden lograr acceso no autorizado a datos sensibles de los usuarios, como información del cliente, detalles personales y otro tipo de información privada del sitio web.
En este sentido, el fallo ha sido identificado como CVE-2024-2879 y afecta a las versiones 7.9.11 y 7.10.0 de LayerSlider. Se trata de una debilidad calificada como “crítica”, ya que ha obtenido una puntuación de 9,8 según el Common Vulnerability Scoring System (CVSS).
Según el análisis de la vulnerabilidad, mostrado por Wordfence en un comunicado en su web, el fallo está asociado a la funcionalidad de consulta de marcado de los controles deslizantes para ventanas emergentes de LayerSlider, ls_get_popup_markup(), la cual permite la inyección de lenguaje SQL.
Así, tras descubrir esta vulnerabilidad el pasado 25 de marzo, AmrAwad trasladó el problema al equipo de Wordfence mediante el programa Wordfence Bug Bounty. Desde ese momento, contactaron con el proveedor del complemento, quien confirmó la vulnerabilidad y comenzó a trabajar en una solución. Finalmente, el 27 de marzo, se lanzó la versión 7.10.1 de LayerSlider, que está completamente parcheada para evitar dicho fallo.
En este marco, desde Wordfence han advertido sobre la necesidad de que los sitios web que utilicen LayerSlider, que actualmente dispone de más de 1 millón de instalaciones activas estimadas, actualicen el complemento a la última versión (7.10.1) ya corregida respecto a esta vulnerabilidad, de cara a evitar posibles ataques.
Asimismo, también ha subrayado que aquellos usuarios que dispongan del servicio de ciberseguridad Wordfence Premium, Worfence Care, Wordfence Response y la versión gratuita del complemento de seguridad, “están protegidos contra cualquier exploit dirigido a esta vulnerabilidad”. Esto se debe a que el servicio ofrece protección de inyección SQL, incorporada del ‘firewall’ de Wordfence.
Con todo ello, según ha matizado el equipo de Wordfence, se trata de la vulnerabilidad más recompensada dentro del programa Wordfence Bug Bounty, ya que se trata de un fallo de alto riesgo y, por tanto, el investigador AmrAwad obtuvo una recompensa de 5.500 euros por descubrirla.
