Se ha publicado una actualización de seguridad que subsana una vulnerabilidad de inyección SQL (SQLi) en WordPress Limit Login Attempts, que permitiría a un atacante remoto no autenticado, descifrar con relativa facilidad contraseñas (o hashes).
La vulnerabilidad identificada como CVE-2022-0787 de severidad alta, con una puntuación de 8.6. Esta se debe a una incorrecta validación de entrada en una función desconocida del complemento de protección contra spam, WordPress Limit Login Attempts (wp-limit-failed-login-attempts). Un atacante remoto no autenticado podría aprovechar esta situación para inyectar código SQL (SQLi) en el software afectado y así obtener datos confidenciales del sitio web.
La versión afectada en WordPress es:
- WordPress Limit Login Attempts (Spam Protection) versiones anteriores a 4.9.1
Recomendamos instalar la actualización correspondiente provista por WordPress, mediante esta guía en el siguiente enlace:
Referencias:
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0787
- https://patchstack.com/database/vulnerability/wp-limit-failed-login-attempts/wordpress-limit-login-attempts-spam-protection-plugin-4-9-1-unauthenticated-sql-injection-sqli-vulnerability
- https://wordpress.org/plugins/wp-limit-failed-login-attempts/#description