eDS Responsive Menu <= 1.2 - Authenticated (Administrator+) PHP Object Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin eDS Responsive Menu, que permite la inyección de objetos PHP a través de usuarios autenticados con privilegios de administrador. Esta vulnerabilidad tiene un nivel de severidad medio, con un CVSS de 6.6.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, lo que permite a un atacante autenticado manipular objetos PHP. Esto puede dar lugar a la ejecución de código no autorizado en el servidor, afectando la integridad del sistema.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante con acceso administrativo ejecute código malicioso, comprometiendo la seguridad de la instalación y exponiendo datos sensibles. Esto puede tener repercusiones graves en la confianza del usuario y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad típicamente requiere que el atacante esté autenticado como administrador, lo que limita el acceso a usuarios malintencionados que ya han obtenido credenciales válidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.2 o superior. Además, es aconsejable revisar los permisos de los usuarios y aplicar buenas prácticas de seguridad, como la implementación de autenticación de dos factores.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en el comportamiento del plugin, registros de acceso inusuales por parte de usuarios administradores y alertas de seguridad generadas por herramientas de monitorización.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin eDS Responsive Menu hasta la 1.2, lanzada antes del 5 de septiembre de 2025.