Uncanny Automator Pro <= 7.3.0.6 - Authenticated (Subscriber+) PHP Object Injection (vulnerabilidad) - version 7.3.0.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Uncanny Automator Pro (versiones hasta 7.3.0.6) que permite la inyección de objetos PHP por usuarios autenticados con rol de suscriptor o superior. Esta falla puede comprometer la integridad del sitio y exponer datos sensibles.

Contexto técnico

La vulnerabilidad se manifiesta a través de la inyección de objetos PHP, lo que permite a un atacante autenticado manipular objetos en el servidor. La superficie de ataque se centra en las funcionalidades del plugin que gestionan la interacción con objetos PHP, accesibles para usuarios con permisos de suscriptor o superiores.

Impacto potencial

El impacto en la seguridad de la instalación es alto, ya que un atacante podría ejecutar código malicioso, comprometiendo la integridad del sitio y potencialmente accediendo a datos confidenciales. Esto podría resultar en daños a la reputación y pérdidas económicas significativas.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la manipulación de solicitudes a través de formularios del plugin, donde el atacante inyecta datos maliciosos que el sistema no valida adecuadamente.

Mitigación recomendada

Actualizar el plugin Uncanny Automator Pro a la versión 7.3.0.7 o superior. Revisar los permisos de usuario y restringir el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF) para filtrar solicitudes maliciosas.

Señales de detección

Señales de riesgo incluyen entradas inusuales en los logs de acceso, intentos de manipulación de parámetros en las solicitudes y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.3.0.7. No se han confirmado casos en versiones posteriores o en instalaciones que no utilicen este plugin.