DZS Video Gallery <= 12.39 - Authenticated (Subscriber+) PHP Object Injection

Resumen ejecutivo

La vulnerabilidad en el plugin DZS Video Gallery permite la inyección de objetos PHP para usuarios autenticados con rol de suscriptor o superior. Esta falla, identificada como CVE-2025-47553, tiene una severidad alta con un CVSS de 8.8.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo la inyección de objetos PHP maliciosos. Esto puede comprometer la seguridad del sitio al permitir que un atacante ejecute código arbitrario en el servidor.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante obtenga acceso no autorizado a datos sensibles o controle el servidor, lo que podría resultar en la pérdida de datos, daños a la reputación y posibles sanciones legales.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la autenticación en el sistema como suscriptor o un rol superior, seguido de la manipulación de las entradas para inyectar código PHP malicioso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin DZS Video Gallery a la versión 12.40 o superior. Además, se debe revisar y restringir los permisos de los usuarios, así como implementar medidas de seguridad adicionales como un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen intentos de inyección de código en las entradas del plugin, registros de actividad inusuales por parte de usuarios autenticados y cambios inesperados en los archivos del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin DZS Video Gallery hasta la 12.39. Las instalaciones que utilizan esta versión o anteriores están en riesgo.