Taxi Booking Manager for WooCommerce – WordPress plugin | Ecab <= 1.1.8 - Authenticated (Contributor+) PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Taxi Booking Manager for WooCommerce' de Ecab, que permite la inyección de objetos PHP autenticada. Esta falla afecta a las versiones hasta la 1.1.8 y tiene un CVSS de 8.8, lo que indica un alto nivel de riesgo.

Contexto técnico

La vulnerabilidad se encuentra en la forma en que el plugin maneja las solicitudes de entrada, permitiendo a un atacante autenticado (con rol de colaborador o superior) inyectar objetos PHP maliciosos. Esto puede llevar a la ejecución remota de código, comprometiendo la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código arbitrario en el servidor, lo que podría permitir al atacante tomar el control total del sitio web, robar datos sensibles o realizar acciones no autorizadas en nombre del usuario.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios del plugin, lo que les permite inyectar código PHP malicioso tras autenticarse como usuarios con permisos adecuados.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.1.9 o superior inmediatamente. Además, se sugiere revisar los permisos de los usuarios y aplicar medidas de seguridad adicionales como la limitación de roles y la monitorización de actividades sospechosas.

Señales de detección

Se deben estar atentos a registros de actividad inusuales, como intentos de acceso no autorizados o cambios en archivos del plugin. También es recomendable habilitar auditorías de seguridad para identificar acciones potencialmente maliciosas.

Alcance afectado

Las versiones del plugin 'Taxi Booking Manager for WooCommerce' hasta la 1.1.8 son vulnerables. Cualquier instalación que utilice estas versiones está en riesgo.