PHP Everywhere <= 2.0.3 - Remote Code Execution by Contributor+ users via gutenberg block

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin PHP Everywhere, que permite la ejecución remota de código por parte de usuarios con privilegios de contribuyente. Esta vulnerabilidad afecta a las versiones hasta la 2.0.3 y fue publicada el 4 de enero de 2022.

Contexto técnico

La vulnerabilidad se presenta en el manejo de bloques de Gutenberg, donde los usuarios con permisos de contribuyente pueden inyectar código PHP malicioso que se ejecuta en el servidor. Esto representa una superficie de ataque significativa, ya que permite a un atacante ejecutar comandos arbitrarios en el entorno del servidor.

Impacto potencial

El impacto potencial de esta vulnerabilidad es considerable, ya que permite a un atacante comprometido acceder y controlar el servidor, lo que podría llevar a la pérdida de datos, alteración de la integridad del sitio y daños a la reputación de la empresa. Además, podría facilitar la propagación de malware a otros sitios web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de un bloque de Gutenberg que contiene código PHP malicioso, el cual es ejecutado al ser procesado por el servidor. Los atacantes pueden aprovecharse de los privilegios de contribuyente para llevar a cabo esta acción.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin PHP Everywhere a la versión 3.0.0 o superior. Además, es aconsejable revisar los permisos de usuario y limitar el acceso a funciones críticas para minimizar la posibilidad de explotación.

Señales de detección

Señales que pueden indicar una posible explotación incluyen cambios no autorizados en el contenido de los bloques de Gutenberg, actividad inusual en los registros del servidor, o la presencia de archivos PHP no reconocidos en el directorio del plugin.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 3.0.0, lo que incluye la 2.0.3 y versiones anteriores. Es fundamental que los administradores de WordPress verifiquen la versión instalada de PHP Everywhere.