Dos vulnerabilidades críticas han sido descubiertas en el tema RealHome y el complemento Easy Real Estate para WordPress, permitiendo a usuarios no autenticados obtener privilegios administrativos en los sitios web afectados.
Estas herramientas, ampliamente utilizadas en sitios web inmobiliarios, presentan fallos críticos que las hacen susceptibles a ataques. Según datos de Envato Market, el tema RealHome se utiliza en más de 32.600 sitios web.
La primera vulnerabilidad, catalogada como CVE-2024-32444, afecta al tema RealHome y tiene un puntaje CVSS de 9.8, indicando una severidad crítica. Este fallo se encuentra en la función inspiry_ajax_register, que permite a los usuarios registrar nuevas cuentas, pero carece de una validación adecuada de autorización y no implementa medidas de seguridad como la verificación de nonce.
Si el registro está habilitado en un sitio web, un atacante puede enviar solicitudes HTTP manipuladas para registrarse como administrador, obteniendo acceso completo al sitio. Esto incluye la capacidad de modificar contenido, insertar scripts maliciosos y acceder a datos sensibles de los usuarios.
La segunda vulnerabilidad, identificada como CVE-2024-32555, también con un puntaje CVSS de 9.8, afecta al complemento Easy Real Estate a través de su función de inicio de sesión social. Este fallo permite a los atacantes iniciar sesión con una dirección de correo electrónico administrativa sin necesidad de contraseña, si conocen la dirección de correo del administrador.
Las consecuencias de esta vulnerabilidad son similares a las del CVE-2024-32444, permitiendo a los atacantes tomar el control total del sitio afectado.
Aunque las vulnerabilidades fueron descubiertas por Patchstack en septiembre de 2024 y se intentó contactar al desarrollador, InspiryThemes, este no ha respondido ni implementado parches de seguridad. Desde el descubrimiento, el desarrollador ha lanzado tres actualizaciones del tema y complemento, pero ninguna aborda los problemas de seguridad.
Dado que no hay parches disponibles, se recomienda a los administradores de sitios web que utilicen el tema RealHome o el complemento Easy Real Estate tomar medidas inmediatas para proteger sus sistemas:
La acción rápida es esencial, ya que estas vulnerabilidades críticas pueden permitir a los atacantes explotar sitios afectados y comprometer tanto su contenido como los datos de los usuarios.
