AdRotate Banner Manager <= 5.17.7 - Authenticated (Contributor+) PHP Code Injection via 'banner' Shortcode Attribute (ejecucion remota de codigo (RCE)) - version 5.17.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección de código PHP en el plugin AdRotate Banner Manager, afectando a versiones hasta la 5.17.7. Este fallo permite a usuarios autenticados con rol de colaborador o superior ejecutar código malicioso, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el uso del atributo 'banner' en el shortcode del plugin, lo que permite la inyección de código PHP. La exposición se da en sitios donde el plugin está instalado y habilitado, y donde se permite a usuarios con permisos adecuados manipular este atributo.

Impacto potencial

El impacto en la seguridad es significativo, ya que un atacante podría ejecutar código arbitrario, lo que podría llevar a la toma de control del sitio. Esto no solo afecta la integridad del sistema, sino que también puede comprometer datos sensibles y la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la manipulación del shortcode 'banner' en las publicaciones o páginas, permitiendo la inyección de código PHP que se ejecuta en el servidor.

Mitigación recomendada

Actualizar el plugin AdRotate Banner Manager a la versión 5.17.8 o superior. Revisar los permisos de usuario y restringir el acceso a roles no confiables. Implementar medidas de seguridad adicionales, como WAF (Web Application Firewall), para mitigar riesgos futuros.

Señales de detección

Revisar los registros de acceso en busca de patrones inusuales en el uso del shortcode 'banner' y verificar configuraciones de permisos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.17.8. No se han confirmado casos de explotación en versiones posteriores.