Everest Forms (Pro) <= 1.9.7 - Unauthenticated PHP Object Injection via PHAR Deserialization in Form Signature

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP no autenticada en el plugin Everest Forms (Pro) hasta la versión 1.9.7. Este fallo permite la deserialización de PHAR, lo que podría comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la deserialización de archivos PHAR, lo que permite a un atacante enviar datos manipulados que el sistema podría procesar sin la debida autenticación. Esto abre una superficie de ataque que puede ser explotada por usuarios no autenticados.

Impacto potencial

Si se explota esta vulnerabilidad, podría permitir a un atacante ejecutar código malicioso en el servidor, lo que pone en riesgo la integridad y confidencialidad de los datos del sitio. Esto podría resultar en pérdidas económicas y daños a la reputación de la organización.

Vector de explotación

Los atacantes suelen enviar solicitudes maliciosas que incluyen datos manipulados para aprovechar la deserialización de PHAR, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Everest Forms (Pro) a la versión 1.9.8 o posterior. Además, se recomienda revisar las configuraciones de seguridad del servidor y aplicar prácticas de hardening como la limitación de acceso a archivos sensibles.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual en el plugin, intentos de acceso no autorizado a formularios y tráfico sospechoso que intente interactuar con las funciones de deserialización del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.9.8 del plugin Everest Forms (Pro).