JetEngine <= 3.7.1 - Authenticated (Contributor+) Server-Side Template Injection to Remote Code Execution

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin JetEngine, que permite la inyección de plantillas del lado del servidor autenticadas, lo que puede llevar a la ejecución remota de código. Esta vulnerabilidad afecta a las versiones hasta 3.7.1 y fue publicada el 13 de julio de 2025.

Contexto técnico

La vulnerabilidad se manifiesta a través de una inyección de plantillas del lado del servidor, que permite a un atacante autenticado con permisos de contribuyente o superiores ejecutar código malicioso en el servidor. Esto se debe a una validación insuficiente de los datos de entrada en ciertas funciones del plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que permite a un atacante ejecutar código arbitrario en el servidor, comprometiendo la integridad y confidencialidad de los datos. Esto podría resultar en la pérdida de información sensible y en un daño significativo a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que manipulan las plantillas del servidor, aprovechando las credenciales de usuarios autenticados con permisos adecuados para ejecutar el código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin JetEngine a la versión 3.7.1.1 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar prácticas de seguridad adecuadas en la gestión de accesos.

Señales de detección

Señales de posible explotación incluyen cambios inusuales en los archivos del servidor, solicitudes HTTP sospechosas que intentan modificar plantillas, y actividad inusual de usuarios autenticados con permisos de contribuyente.

Alcance afectado

Las versiones del plugin JetEngine hasta la 3.7.1 están afectadas. Es crucial que los administradores de WordPress verifiquen la versión instalada y realicen las actualizaciones necesarias.