Custom css-js-php <= 2.0.7 - Unauthenticated Remote Code Execution en Custom CSS JS PHP (ejecucion remota de codigo (RCE))

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin Custom CSS-JS-PHP hasta la versión 2.0.7. Esta falla permite a un atacante no autenticado ejecutar código malicioso, lo que puede comprometer gravemente la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Custom CSS-JS-PHP, afectando a versiones anteriores a la 2.0.7. La superficie de ataque se basa en la capacidad de un atacante para enviar peticiones maliciosas que el servidor ejecutará sin autenticación previa.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la toma de control total del sitio web, comprometiendo datos sensibles y la integridad del sistema. Esto puede resultar en pérdidas financieras y daño a la reputación del negocio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes HTTP manipuladas que ejecutan código malicioso en el servidor, aprovechando la falta de validación de entrada.

Mitigación recomendada

Actualizar el plugin Custom CSS-JS-PHP a la versión 2.0.7 o superior. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Señales a observar incluyen registros de acceso inusuales, especialmente peticiones a scripts PHP del plugin que no coincidan con el comportamiento normal.

Alcance afectado

El fallo afecta a todas las versiones del plugin Custom CSS-JS-PHP anteriores a la 2.0.7. No se han confirmado casos de explotación en versiones posteriores.