Doubly <= 1.0.46 - Authenticated (Subscriber+) PHP Object Injection via ZIP File Import

Resumen ejecutivo

La vulnerabilidad CVE-2025-14476 en el plugin Doubly, hasta la versión 1.0.46, permite la inyección de objetos PHP autenticados a través de la importación de archivos ZIP. Esta falla, clasificada como de alta gravedad, tiene un CVSS de 8.8.

Contexto técnico

El fallo se origina en la forma en que el plugin procesa archivos ZIP importados, permitiendo a usuarios autenticados con rol de suscriptor o superior inyectar código malicioso en el sistema. Esta inyección puede comprometer la integridad del sitio al permitir la ejecución de comandos no autorizados.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución remota de código, comprometiendo la seguridad del sitio y permitiendo a atacantes acceder a datos sensibles o tomar control total del mismo. Esto puede traducirse en pérdidas económicas y reputacionales para la organización afectada.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando un archivo ZIP malicioso tras autenticarse como usuarios con permisos adecuados, lo que les permite ejecutar código PHP no autorizado en el servidor.

Mitigación recomendada

Actualizar el plugin Doubly a la versión 1.0.47 o superior es esencial para mitigar esta vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales como el uso de firewalls y escaneos de seguridad regulares.

Señales de detección

Señales de posible explotación incluyen la detección de archivos ZIP inusuales en los registros de importación y actividad sospechosa de usuarios con permisos de suscriptor o superiores. Monitorear los logs de acceso y errores también puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin Doubly hasta la 1.0.46 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.