La vulnerabilidad CVE-2024-3564 en el plugin Content Blocks (Custom Post Widget) para WordPress permite a atacantes autenticados con al menos permisos de contribuidor incluir y ejecutar archivos arbitrarios en el servidor a través del shortcode ‘content_block’. Esto puede llevar a la ejecución de código PHP malicioso en el servidor.
La vulnerabilidad de Inclusión de Archivo Local en el plugin Content Blocks (Custom Post Widget) hasta la versión 3.3.0 se debe a un control inadecuado del nombre de archivo en la declaración de inclusión/requerimiento de PHP. Esto permite a un atacante autenticado incluir archivos arbitrarios en el servidor, lo que puede conducir a la ejecución de código PHP malicioso y evadir los controles de acceso. Para mitigar este riesgo, se recomienda actualizar el plugin a la última versión disponible y restringir el acceso de los usuarios con privilegios de contribuidor y superiores a funciones que no requieran la capacidad de incluir archivos.
Es crucial mantener actualizados todos los plugins de WordPress a sus últimas versiones para mitigar potenciales vulnerabilidades de seguridad. Además, es importante restringir los accesos y privilegios de los usuarios para limitar posibles ataques de inclusión de archivos locales como el descrito en esta situación.