Blocksy <= 2.1.41 - Authenticated (Contributor+) PHP Object Injection via Deserialization of Untrusted Data via 'blocksy_meta' REST API Field (vulnerabilidad) - version 2.1.42

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema Blocksy (versiones <= 2.1.41) que permite la inyección de objetos PHP a través de la deserialización de datos no confiables. Esta falla puede comprometer la seguridad del sitio y permitir la ejecución de código malicioso por parte de usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad se encuentra en el campo 'blocksy_meta' de la API REST, donde se permite la deserialización de datos no validados. Esto crea un vector de ataque que puede ser explotado por usuarios con permisos de contribuidor o superiores, facilitando la ejecución de código PHP malicioso en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la toma de control total del sitio web. Esto no solo afecta la integridad de los datos, sino que también puede dañar la reputación del negocio y comprometer la información de los usuarios.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes maliciosas a la API REST, manipulando el campo 'blocksy_meta' para inyectar objetos PHP que el servidor deserializa sin validar adecuadamente.

Mitigación recomendada

Actualizar el tema Blocksy a la versión 2.1.42 o superior para corregir la vulnerabilidad. Revisar los permisos de los usuarios y limitar el acceso a roles que no sean necesarios. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para filtrar solicitudes maliciosas.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones de solicitudes inusuales hacia la API REST, especialmente relacionadas con el campo 'blocksy_meta'.

Alcance afectado

Las versiones afectadas son todas las versiones de Blocksy hasta la 2.1.41. No se han confirmado casos en versiones posteriores a la 2.1.42.