Complianz – GDPR/CCPA Cookie Consent <= 7.5.1 - Authenticated (Administrator+) PHP Object Injection en Complianz Gdpr (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin Complianz – GDPR/CCPA Cookie Consent, afectando a versiones hasta la 7.5.1. Este fallo, de severidad media (CVSS 6.6), permite a un administrador autenticado ejecutar código malicioso, lo que puede comprometer la integridad del sitio web.

Contexto técnico

El vector de ataque se presenta cuando un administrador autenticado interactúa con ciertas funciones del plugin, lo que permite la inyección de objetos PHP. Esta vulnerabilidad se origina en el manejo inadecuado de datos, facilitando la ejecución de código no autorizado.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso en el servidor, poniendo en riesgo la seguridad del sitio y la información de los usuarios. Esto podría resultar en pérdida de datos, alteraciones no autorizadas y daños a la reputación del negocio.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la manipulación de parámetros en las peticiones realizadas por un administrador autenticado, lo que permite la ejecución de código PHP malicioso.

Mitigación recomendada

Actualizar el plugin Complianz – GDPR/CCPA Cookie Consent a la versión 7.5.1 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y asegurarse de que solo los administradores de confianza tengan acceso a funciones críticas. Realizar auditorías de seguridad periódicas para identificar y mitigar posibles vulnerabilidades.

Señales de detección

Monitorear los registros de acceso en busca de actividades inusuales por parte de administradores, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Complianz – GDPR/CCPA Cookie Consent hasta la 7.5.1 son vulnerables. No se han confirmado casos en versiones posteriores.