FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce <= 3.7.3 - Missing Authorization en WP Marketing Automations - version 3.8.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin FunnelKit Automations, afectando a versiones hasta 3.7.3. Esta falla puede permitir a un atacante ejecutar código malicioso, lo que compromete la seguridad del sitio web y sus datos.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en ciertas funciones del plugin FunnelKit Automations. Los atacantes pueden aprovechar esta debilidad a través de peticiones HTTP maliciosas, lo que permite la ejecución de código sin la debida autorización.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes ejecutar código arbitrario en el servidor. Esto puede resultar en la pérdida de datos, alteración de la funcionalidad del sitio y potencial acceso no autorizado a información sensible.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas al servidor que ejecutan código no autorizado, lo que puede llevar a la toma de control del sistema.

Mitigación recomendada

Actualizar el plugin FunnelKit Automations a la versión 3.8.0 o superior para cerrar la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad del servidor y del sitio web. Monitorear los registros de acceso en busca de actividades sospechosas relacionadas con el plugin.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intentan acceder a funciones del plugin sin la debida autorización, así como cambios inesperados en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin FunnelKit Automations hasta la 3.7.3. No se han confirmado casos en versiones posteriores a la 3.8.0.