Five Star Restaurant Menu and Food Ordering <= 2.4.10 - Unauthenticated PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Five Star Restaurant Menu and Food Ordering' que permite la inyección de objetos PHP sin autenticación. Esta falla afecta a las versiones hasta la 2.4.10 y puede comprometer gravemente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se basa en un bypass de autenticación que permite a un atacante inyectar objetos PHP maliciosos. La superficie de ataque se centra en las funciones del plugin que procesan entradas sin la debida validación, facilitando así la ejecución de código no autorizado.

Impacto potencial

El impacto potencial es severo, ya que un atacante podría tomar el control total del sitio web afectado, comprometiendo datos sensibles y la integridad del sistema. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas al servidor que contienen datos maliciosos, lo que les permite ejecutar código PHP arbitrario sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 2.4.11 o superior donde se ha corregido esta vulnerabilidad. Además, es aconsejable realizar una auditoría de seguridad completa del sitio y aplicar medidas de hardening como la restricción de acceso a áreas críticas del backend.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales, intentos de ejecución de código PHP en rutas no autorizadas y cambios inesperados en archivos del plugin. Monitorear estos indicadores puede ayudar a detectar intentos de explotación.

Alcance afectado

Las versiones del plugin 'Five Star Restaurant Menu and Food Ordering' hasta la 2.4.10 están afectadas. Los usuarios que no han actualizado a la versión 2.4.11 corren un alto riesgo.