Event Manager and Tickets Selling Plugin for WooCommerce – WpEvently <= 4.1.1 - Authenticated (Contributor+) PHP Object Injection in mep_event_meta_save

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WpEvently para WooCommerce, que permite la inyección de objetos PHP a través de la funcionalidad de gestión de eventos y venta de entradas. Este fallo afecta a las versiones hasta la 4.1.1 y puede ser explotado por usuarios autenticados con rol de contribuyente o superior.

Contexto técnico

La vulnerabilidad se origina en la función 'mep_event_meta_save', donde se permite la inyección de objetos PHP sin la debida validación. Esto expone el sistema a la ejecución remota de código (RCE), lo que puede comprometer la integridad del servidor y los datos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en un acceso no autorizado a datos sensibles, modificación de contenido y potencial control total del sitio web. Esto podría tener repercusiones graves en la reputación de la empresa y en la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz de administración de WordPress, utilizando credenciales de usuario autenticadas con permisos adecuados.

Mitigación recomendada

Actualizar el plugin WpEvently a la versión 4.1.2 o superior es crucial para mitigar esta vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar medidas de seguridad adicionales, como la implementación de un firewall y la monitorización de actividad sospechosa.

Señales de detección

Se deben vigilar los registros de acceso y las actividades inusuales en el panel de administración de WordPress, así como cualquier intento de ejecución de código no autorizado.

Alcance afectado

Las versiones del plugin WpEvently hasta la 4.1.1 están afectadas. La vulnerabilidad ha sido corregida en la versión 4.1.2, publicada el 31 de enero de 2024.