PGS Core <= 5.8.0 - Unauthenticated PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin PGS Core, que permite la inyección de objetos PHP sin autenticación. Este fallo afecta a versiones anteriores a la 5.9.0 y tiene un CVSS de 9.8, lo que indica su gravedad.

Contexto técnico

La vulnerabilidad se clasifica como una omisión de autenticación que permite a un atacante inyectar objetos PHP maliciosos en el sistema. Esto puede comprometer la integridad del sitio, ya que el fallo se presenta en el manejo de datos sin la validación adecuada de las credenciales del usuario.

Impacto potencial

El impacto potencial incluye la posibilidad de ejecución remota de código, lo que podría resultar en la toma de control total del sitio web. Esto puede llevar a la pérdida de datos, interrupciones en el servicio y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que aprovechan la falta de autenticación, lo que les permite ejecutar código arbitrario en el servidor.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin PGS Core a la versión 5.9.0 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la revisión de permisos y la monitorización de actividades inusuales en el sitio.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales, intentos de inyección de código en las solicitudes y cambios inesperados en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.9.0 del plugin PGS Core. Es crucial verificar las instalaciones para asegurar que no se esté utilizando una versión vulnerable.