Dokan Pro <= 5.0.2 - Authenticated (Subscriber+) PHP Object Injection (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Dokan Pro (versiones hasta 5.0.2) que permite la inyección de objetos PHP. Este fallo puede ser explotado por usuarios autenticados con rol de suscriptor o superior, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el manejo inadecuado de objetos PHP dentro del plugin Dokan Pro, lo que permite a un atacante autenticado manipular la ejecución de código. La superficie de ataque se centra en las funcionalidades accesibles para usuarios con privilegios de suscriptor o superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede dar lugar a la ejecución de código malicioso en el servidor, lo que podría comprometer datos sensibles y la integridad del sitio. Esto representa un riesgo significativo para la reputación y la operativa del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios o endpoints accesibles para usuarios autenticados, lo que les permite ejecutar código no autorizado.

Mitigación recomendada

Actualizar el plugin Dokan Pro a la versión 5.0.3 o superior para corregir la vulnerabilidad. Revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web y escaneos de vulnerabilidades periódicos.

Señales de detección

Monitorizar los logs de acceso en busca de solicitudes inusuales que intenten acceder a funciones del plugin. Revisar cambios no autorizados en archivos del plugin que puedan indicar explotación.

Alcance afectado

Las versiones de Dokan Pro hasta la 5.0.2 están afectadas. No se ha confirmado la existencia de esta vulnerabilidad en versiones posteriores.