Five Star Business Profile and Schema <= 2.3.19 - Authenticated (Editor+) Arbitrary Code Execution (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución de código arbitrario en el plugin Five Star Business Profile, que afecta a versiones anteriores a 2.3.19. Esta falla, con un CVSS de 7.2, puede comprometer la seguridad operativa del sitio.

Contexto técnico

El fallo se encuentra en el plugin Five Star Business Profile, permitiendo a usuarios autenticados con rol de Editor o superior ejecutar código arbitrario. La superficie de ataque se centra en las funcionalidades que permiten la modificación de datos sin la debida validación.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la toma de control total del sitio web, afectando la integridad de los datos y la confianza del usuario. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la utilización de funciones del plugin que permiten la inyección de código, aprovechando la falta de validación en las entradas de datos.

Mitigación recomendada

Actualizar el plugin Five Star Business Profile a la versión 2.3.19 o superior. Revisar y restringir los permisos de los usuarios a roles necesarios. Implementar medidas de seguridad adicionales como firewalls de aplicación web.

Señales de detección

Buscar en los logs de acceso patrones inusuales de actividad de usuarios autenticados, así como cambios inesperados en los archivos del plugin.

Alcance afectado

Las versiones del plugin Five Star Business Profile anteriores a la 2.3.19 están afectadas. No se han reportado casos en versiones posteriores.