BuddyPress <= 14.5.0 - Authenticated (Subscriber+) PHP Object Injection via XProfile Field Data (vulnerabilidad)

Resumen ejecutivo

BuddyPress hasta la versión 14.5.0 presenta una vulnerabilidad de inyección de objetos PHP autenticada, que puede comprometer la seguridad del sitio. Esta falla, con un CVSS de 7.5, afecta a los usuarios con rol de suscriptor y superiores, permitiendo la ejecución de código malicioso.

Contexto técnico

La vulnerabilidad se origina en los datos de campo XProfile, donde los usuarios autenticados pueden inyectar código PHP malicioso. La superficie de ataque se encuentra en la interacción de los perfiles de usuario, lo que permite a los atacantes ejecutar código en el servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código no autorizado, comprometiendo la integridad y confidencialidad de los datos del sitio. Esto puede llevar a la pérdida de confianza por parte de los usuarios y repercusiones legales.

Vector de explotación

Normalmente, se explota a través de la modificación de los datos de los campos XProfile por parte de un usuario autenticado con privilegios de suscriptor o superiores.

Mitigación recomendada

Actualizar BuddyPress a la versión 14.5.0 o superior para corregir la vulnerabilidad. Revisar y limitar los permisos de los usuarios autenticados, especialmente aquellos con rol de suscriptor. Implementar medidas de seguridad adicionales como la validación de datos de entrada y el uso de firewalls de aplicaciones web.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales de modificación de campos XProfile y registros de ejecución de código PHP inesperados.

Alcance afectado

Todas las versiones de BuddyPress anteriores a la 14.5.0 son vulnerables. No se han confirmado casos en versiones posteriores.