Booking Calendar <= 9.1 - PHP Object Injection via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Booking Calendar, que permite la inyección de objetos PHP a través de un shortcode. Esta vulnerabilidad afecta a las versiones hasta la 9.1 y puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona los shortcodes, permitiendo a un atacante inyectar objetos PHP maliciosos. Esto puede llevar a la ejecución de código arbitrario en el servidor, afectando la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante tomar control total del sitio web afectado. Esto puede resultar en la pérdida de datos, desfiguración del sitio o incluso el uso del mismo para actividades maliciosas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que incluyen shortcodes manipulados, lo que provoca la ejecución de código no autorizado en el servidor.

Mitigación recomendada

Se recomienda actualizar el plugin Booking Calendar a la versión 9.1.1 o superior para mitigar esta vulnerabilidad. Además, se sugiere realizar una auditoría de seguridad completa del sitio después de la actualización.

Señales de detección

Se deben monitorizar los registros del servidor en busca de solicitudes inusuales que contengan shortcodes sospechosos. También es recomendable implementar herramientas de seguridad que alerten sobre comportamientos anómalos.

Alcance afectado

Las versiones del plugin Booking Calendar hasta la 9.1 son vulnerables. Es crucial que los usuarios de este plugin comprueben su versión y apliquen las actualizaciones necesarias.