WooCommerce Product Add-ons <= 6.1.3 - Authenticated (Shop Manager+) PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WooCommerce Product Add-ons, que permite la inyección de objetos PHP a través de usuarios autenticados con privilegios de Shop Manager o superiores. Esta falla puede comprometer gravemente la seguridad del sitio web afectado.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja ciertos datos, lo que permite a un atacante autenticado inyectar objetos PHP maliciosos. Esto se traduce en una ejecución remota de código (RCE), lo que puede dar lugar a un control total sobre el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser devastador, ya que permite a un atacante ejecutar código arbitrario en el servidor. Esto podría resultar en la pérdida de datos, la alteración de la funcionalidad del sitio y la posibilidad de comprometer la información de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la autenticación como Shop Manager o usuario con privilegios superiores, enviando datos manipulados que desencadenan la inyección de objetos PHP.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin WooCommerce Product Add-ons a la versión 6.2.0 o superior. Además, se recomienda revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de roles.

Señales de detección

Señales de riesgo incluyen comportamientos inusuales en el servidor, como procesos desconocidos ejecutándose o cambios inesperados en archivos críticos. También se deben monitorizar logs de acceso para detectar intentos de explotación.

Alcance afectado

Las versiones del plugin WooCommerce Product Add-ons hasta la 6.1.3 son vulnerables. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.