QRMenu Restaurant QR Menu Lite <= 1.0.3 - Authenticated (Contributor+) PHP Object Injection en Qrmenu Lite (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin QRMenu Restaurant QR Menu Lite en versiones hasta 1.0.3, que permite la inyección de objetos PHP autenticados. Esta vulnerabilidad tiene una puntuación CVSS de 8.8, lo que indica su gravedad.

Contexto técnico

La vulnerabilidad se basa en una inyección de objetos PHP que puede ser aprovechada por usuarios autenticados con permisos de contribuyente o superiores. Esto permite manipular el comportamiento del servidor y ejecutar código arbitrario.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que un atacante podría obtener acceso no autorizado a datos sensibles o comprometer la integridad del sitio. Esto podría resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Típicamente, esta vulnerabilidad se explota mediante el envío de solicitudes manipuladas por un usuario autenticado, lo que permite ejecutar código no autorizado en el servidor.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 1.0.3. Actualiza qrmenu-lite a la versión 1.0.3 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 1.0.3, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de posible explotación incluyen actividad sospechosa en los registros de acceso, como intentos de acceso no autorizados o cambios inesperados en los archivos del plugin.

Alcance afectado

Las versiones afectadas son QRMenu Restaurant QR Menu Lite hasta la 1.0.3. Se recomienda a todos los usuarios de este plugin verificar su versión y actualizar si es necesario.