Nueva vulnerabilidad wp2shell en el núcleo de WordPress permite a atacantes no autenticados ejecutar código
Resumen
Se ha descubierto una vulnerabilidad en el núcleo de WordPress que permite a atacantes no autenticados ejecutar código en sitios web mediante solicitudes HTTP anónimas. La vulnerabilidad afectaba a todas las versiones 6.9 y 7.0 hasta que se lanzaron las actualizaciones 6.9.5 y 7.0.2 el viernes, que habilitaron las actualizaciones forzadas a través del sistema de actualización automática. Esta vulnerabilidad puede ser explotada incluso en sitios con cero plugins instalados.
An anonymous HTTP request can run code on a WordPress site. The bug is in core, so a bare install with zero plugins is exploitable. Every 6.9 and 7.0 site was in range until Friday, when WordPress shipped 6.9.5 and 7.0.2 and enabled what it calls forced updates through its auto-update system. Adam Kues at Assetnote, Searchlight Cyber's attack surface management arm, found the flaw and reported