Se han solucionado dos vulnerabilidades de seguridad importantes en el popular tema Woffice de WordPress que podrían permitir a los atacantes obtener control o acceso no autorizado.
El tema Woffice, un producto premium desarrollado por Xtendify con más de 15 000 ventas, proporciona una funcionalidad de gestión de proyectos y equipos para WordPress.
Según un informe de Patchstack, la primera vulnerabilidad es una falla de escalada de privilegios que permite a los usuarios no autenticados registrarse con cualquier rol, incluido el de administrador. Esto podría permitir a los atacantes obtener el control total de un sitio web afectado. La segunda permite la toma de control de cuentas no autenticadas (ATO), lo que permite a los atacantes iniciar sesión como cualquier usuario existente, incluido el administrador del sitio.
Para solucionar el problema de escalada de privilegios, los desarrolladores implementaron una lista de denegación para evitar el registro de roles no autorizados y bloquear explícitamente los roles de administrador. Para la vulnerabilidad de apropiación de cuentas, eliminaron por completo la función defectuosa register_redirect() que permitía inicios de sesión no autorizados.
Estos parches se publicaron en etapas. La versión 5.4.12 solucionó la vulnerabilidad de escalada de privilegios, mientras que la versión 5.4.15 solucionó la falla de apropiación de cuentas. El parche final se publicó el 18 de noviembre de 2024, después de pruebas y validación exhaustivas.
Los usuarios de Woffice deben actualizar a la versión 5.4.15 de inmediato para proteger sus sitios. No actualizar podría dejar los sitios web vulnerables a apropiaciones totales o instalaciones de código de servidor malicioso.
La empresa también recomendó a los desarrolladores que adopten medidas estrictas de validación y autenticación de roles para evitar vulnerabilidades similares en los sistemas de inicio de sesión y registro personalizados. Estas salvaguardas son esenciales para mantener un entorno de WordPress seguro.