Advanced Database Cleaner <= 3.1.3 - Authenticated(Administrator+) PHP Object Injection via process_bulk_action

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin Advanced Database Cleaner, que afecta a versiones hasta la 3.1.3. Esta falla permite a administradores autenticados ejecutar acciones maliciosas en el sistema.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las acciones de limpieza de la base de datos. Un atacante con privilegios de administrador puede manipular las solicitudes para inyectar objetos PHP, lo que podría comprometer la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado realizar acciones no autorizadas, lo que podría resultar en la pérdida de datos o la alteración de la configuración del sitio. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la manipulación de las solicitudes HTTP enviadas al servidor, específicamente al utilizar las funciones del plugin que procesan acciones en lote.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Database Cleaner a la versión 3.1.4 o superior. Además, es aconsejable revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de riesgo incluyen registros de actividades inusuales por parte de usuarios administradores, así como cambios inesperados en la base de datos que no fueron autorizados por el equipo de gestión.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 3.1.4, incluyendo la 3.1.3 y anteriores.