Advanced Ads – Ad Manager & AdSense <= 2.0.21 - Authenticated (Contributor+) Remote Code Execution (ejecucion remota de codigo (RCE)) - version 2.0.22

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin Advanced Ads, que afecta a las versiones hasta la 2.0.21. Esta vulnerabilidad, con un CVSS de 8.3, permite a un atacante autenticado ejecutar código malicioso, comprometiendo la seguridad del sitio web.

Contexto técnico

El fallo se presenta en el plugin Advanced Ads, específicamente en su gestión de usuarios autenticados con rol de contribuidor o superior. La superficie de ataque se centra en la capacidad de estos usuarios para enviar solicitudes que pueden ser manipuladas para ejecutar código no autorizado.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso en el servidor, lo que podría resultar en la toma de control del sitio web, robo de datos sensibles o la instalación de malware. Esto representa un riesgo significativo tanto para la integridad del negocio como para la confianza de los usuarios.

Vector de explotación

Un atacante autenticado puede aprovechar esta vulnerabilidad mediante la manipulación de solicitudes específicas para ejecutar código en el servidor, lo que puede ser realizado a través de formularios o funciones del plugin.

Mitigación recomendada

Actualizar el plugin Advanced Ads a la versión 2.0.22 o superior para cerrar la vulnerabilidad. Revisar y restringir los permisos de los usuarios con rol de contribuidor o superior para limitar su capacidad de explotación. Implementar medidas de seguridad adicionales, como firewalls y monitorización de actividad sospechosa.

Señales de detección

Señales de riesgo incluyen logs de errores que indiquen intentos de ejecución de código o cambios no autorizados en la configuración del plugin, así como actividad inusual por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.22 del plugin Advanced Ads. No se han confirmado casos de explotación en versiones posteriores.