ProductX – WooCommerce Builder & Gutenberg WooCommerce Blocks <= 3.1.4 - PHP Object Injection via wopb_wishlist and wopb_compare

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ProductX – WooCommerce Builder & Gutenberg WooCommerce Blocks, que permite la inyección de objetos PHP. Esta falla afecta a las versiones hasta la 3.1.4 y tiene un CVSS de 9.8, lo que la convierte en un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes a través de las funciones wopb_wishlist y wopb_compare, permitiendo la inyección de objetos PHP maliciosos. Esto puede comprometer la integridad del sistema al permitir la ejecución de código no autorizado en el servidor.

Impacto potencial

El impacto potencial de esta vulnerabilidad es severo, ya que podría permitir a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la pérdida de datos, comprometer la información de los clientes y afectar la reputación de la empresa. La gravedad de la vulnerabilidad la convierte en un objetivo atractivo para atacantes malintencionados.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la manipulación de parámetros en las solicitudes HTTP, lo que les permite inyectar objetos PHP maliciosos. Esto puede hacerse a través de formularios o peticiones directas a las funciones vulnerables del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin ProductX a la versión 3.1.5 o superior. Además, se sugiere realizar auditorías de seguridad regulares y aplicar medidas de hardening en el servidor, como limitar el acceso a archivos críticos y desactivar funciones PHP innecesarias.

Señales de detección

Señales de riesgo incluyen logs de errores inusuales relacionados con el plugin ProductX, intentos de acceso no autorizados a las funciones wopb_wishlist y wopb_compare, y cambios inesperados en los archivos del plugin.

Alcance afectado

Las versiones del plugin ProductX – WooCommerce Builder & Gutenberg WooCommerce Blocks hasta la 3.1.4 están afectadas. Se recomienda a los usuarios verificar la versión instalada y proceder con la actualización.