TableOn – WordPress Posts Table Filterable <= 1.0.4.3 - Unauthenticated PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin TableOn para WordPress, que permite la inyección de objetos PHP no autenticados. Esta falla afecta a las versiones hasta 1.0.4.3 y puede tener graves repercusiones en la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas, lo que permite a un atacante enviar datos manipulados que el sistema interpreta como objetos PHP. Esto puede llevar a la ejecución de código arbitrario, comprometiendo así la integridad del servidor y los datos.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a información sensible, la posibilidad de ejecutar código malicioso en el servidor y un riesgo significativo para la reputación de la empresa. La severidad de esta vulnerabilidad, con un CVSS de 9.8, la clasifica como crítica, lo que la convierte en un objetivo atractivo para los atacantes.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a la aplicación, lo que les permite ejecutar código no autorizado sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.0.4.4 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el monitoreo del tráfico inusual.

Señales de detección

Las señales de posible explotación incluyen registros de solicitudes HTTP inusuales que intentan acceder a funciones del plugin sin autenticación, así como comportamientos anómalos en el servidor que podrían indicar ejecución de código no autorizado.

Alcance afectado

Las versiones del plugin TableOn hasta la 1.0.4.3 son vulnerables. Se recomienda que todos los usuarios de este plugin revisen su versión y apliquen la actualización necesaria.