Add custom page template <= 2.0.1 - Authenticated (Administrator+) PHP Code Injection to Remote Code Execution (ejecucion remota de codigo (RCE))

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Add Custom Page Template' que permite la inyección de código PHP autenticado, lo que puede llevar a la ejecución remota de código. Esta falla afecta a las versiones hasta la 2.0.1 del plugin y tiene una puntuación CVSS de 7.2.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas en el plugin, permitiendo a administradores autenticados ejecutar código PHP malicioso. La superficie de ataque se centra en los privilegios de usuario, ya que solo los administradores pueden aprovechar esta debilidad.

Impacto potencial

Si se explota, esta vulnerabilidad puede comprometer gravemente la seguridad del sitio web, permitiendo a un atacante ejecutar comandos arbitrarios en el servidor. Esto podría resultar en la pérdida de datos, alteración del contenido del sitio y potencialmente la toma de control total del servidor.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la autenticación como administradores y la inyección de código PHP a través de formularios o parámetros manipulados en el plugin.

Mitigación recomendada

Se recomienda actualizar el plugin 'Add Custom Page Template' a la versión 2.0.1 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como el uso de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen la aparición de archivos PHP desconocidos en el servidor, cambios no autorizados en el contenido del sitio y registros de acceso inusuales por parte de usuarios administradores.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.1 del plugin 'Add Custom Page Template'.