Page Builder: Live Composer <= 1.5.42 - Authenticated (Contributor+) PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Page Builder: Live Composer' hasta la versión 1.5.42, que permite inyección de objetos PHP para usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad, catalogada con un CVSS de 7.5, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en una inadecuada validación de datos, permitiendo a un atacante autenticado inyectar objetos PHP maliciosos. Esto se traduce en un riesgo significativo, ya que podría permitir la ejecución de código no autorizado en el servidor, afectando la integridad y confidencialidad de la aplicación.

Impacto potencial

El impacto potencial de esta vulnerabilidad es considerable, ya que podría permitir a un atacante acceder a datos sensibles, modificar contenido o incluso tomar control total del sitio. Esto podría resultar en pérdidas económicas y daño a la reputación de la organización afectada.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la autenticación en el sitio y la manipulación de las solicitudes para inyectar objetos PHP maliciosos. Esto requiere que el atacante tenga al menos un rol de colaborador, lo que limita el vector de ataque a usuarios internos o comprometidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Page Builder: Live Composer' a la versión 1.5.43 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración de WordPress para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo pueden incluir actividades inusuales en el registro de acceso, intentos de inyección de código en las solicitudes, o cambios no autorizados en el contenido del sitio. Monitorear estos indicadores puede ayudar a detectar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.43 del plugin 'Page Builder: Live Composer'. Las instalaciones que utilicen estas versiones están en riesgo y deben ser actualizadas de inmediato.