O popular plugin multilíngue do WordPress, WPML, que é instalado em mais de 1.000.000 de sites, corrigiu uma vulnerabilidade de Execução Remota de Código (RCE) (CVE-2024-6386) que os pesquisadores classificaram como “Crítica”, com uma pontuação CVSS de 9,9 . Os usuários são fortemente aconselhados a atualizar seus sites para a versão corrigida, WPML 4.6.13.
O pesquisador de segurança Mat Rollings (stealthcopter) descobriu e relatou a vulnerabilidade por meio do programa Wordfence Bug Bounty, ganhando uma recompensa de US$ 1.639.
István Márton, do Wordfence, explicou: “O plugin WPML para WordPress é vulnerável à Execução Remota de Código em todas as versões até, e incluindo, 4.6.12 via Twig Server-Side Template Injection. Isso se deve à falta de validação de entrada e sanitização na função render. Isso torna possível que invasores autenticados, com acesso de nível de Contribuidor e acima, executem código no servidor.”
Matt Rollings apelidou essa vulnerabilidade de “um exemplo clássico dos perigos da higienização inadequada de entradas em mecanismos de modelagem” e compartilhou mais detalhes técnicos sobre essa vulnerabilidade em seu blog.
Nos últimos oito dias, pesquisadores ganharam US$ 21.037 em recompensas por relatar três vulnerabilidades críticas de plug-ins: GiveW , LiteSpeed Cache e WPML.