Friends 3.5.1 - Authenticated (Subscriber+) PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Friends' versión 3.5.1 que permite la inyección de objetos PHP para usuarios autenticados con rol de suscriptor o superior. Esta vulnerabilidad, catalogada con un CVSS de 7.5, puede ser explotada para comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin 'Friends' maneja las entradas de los usuarios autenticados, permitiendo la inyección de objetos PHP maliciosos. Esto se traduce en una superficie de ataque que puede ser aprovechada por atacantes con acceso limitado al sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado ejecutar código arbitrario en el servidor, lo que podría resultar en la toma de control del sitio, robo de datos sensibles o alteración de la funcionalidad del mismo.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando datos manipulados a través de formularios o peticiones API, lo que les permite inyectar objetos PHP maliciosos y ejecutar código no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Friends' a la versión 3.5.2 o superior. Además, es aconsejable revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin.

Señales de detección

Se deben monitorizar registros de acceso y actividad inusual por parte de usuarios autenticados, así como cualquier intento de ejecución de código no autorizado en el servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.5.2 del plugin 'Friends'.