Widget Options Plugin <= 4.0.7 - Vulnerabilità Critica di RCE Autenticata (CVE-2024-8672)

Una vulnerabilità critica di Remote Code Execution (RCE) (CVE-2024-8672) è stata identificata nel plugin Widget Options – The #1 WordPress Widget & Block Control Plugin, che conta oltre 100.000 installazioni attive a livello globale. La vulnerabilità consente a utenti con privilegi di tipo contributor o superiori di eseguire codice arbitrario sui siti WordPress interessati. L’ampia diffusione di questo plugin su diversi siti web aumenta significativamente il rischio di sfruttamento, con potenziali compromissioni di dati sensibili e dell’integrità del sistema.

Riassunto tecnico

CVE-2024-8672 interessa tutte le versioni del plugin Widget Options fino alla versione 4.0.7, sfruttando la funzionalità di display logic del plugin. Il problema nasce dalla gestione impropria dell’input fornito dagli utenti, che viene passato alla funzione eval() senza un’adeguata sanitizzazione o restrizioni basate sui ruoli.

Dettagli chiave:

Requisiti per lo sfruttamento: L’attaccante deve disporre almeno di privilegi di tipo contributor.
Metodo di attacco: Iniettando codice malevolo nelle impostazioni di display logic, l’attaccante può eseguire arbitrariamente codice PHP sul server, portando alla compromissione totale del sito.
Risposta del vendor: Il vendor ha rilasciato una patch nella versione 4.0.8, ma essa non include misure di hardening sufficienti, come la limitazione dell’esecuzione a ruoli attendibili o la definizione di un elenco sicuro di funzioni consentite, lasciando quindi alcuni rischi residui.

Questa vulnerabilità è classificata come Critica con un punteggio CVSS di 9.9.

Versioni interessate:

• Versioni del plugin Widget Options 4.0.7 e precedenti.

Raccomandazioni

1. Aggiornare il Plugin:
   Eseguire l’aggiornamento alla versione 4.0.8 o successive per applicare la correzione del vendor.

2. Verificare i Ruoli Utente:
   Revisionare e limitare i privilegi dei contributor per evitare accessi non necessari alle impostazioni di display logic.