Jeg Kit for Elementor – Powerful Addons for Elementor, Widgets & Templates for WordPress <= 3.2.10 - Authenticated (Author+) PHP Object Injection en JEG Elementor KIT (vulnerabilidad) - version 3.2.11

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Jeg Kit for Elementor que permite la inyección de objetos PHP a través de autenticación. Esta falla, clasificada con una severidad alta (CVSS 7.5), puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en el plugin Jeg Kit for Elementor, utilizado para añadir widgets y plantillas en WordPress. La vulnerabilidad se explota mediante la autenticación de usuarios, permitiendo a un atacante inyectar objetos PHP maliciosos en el sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar código arbitrario en el servidor, lo que pone en riesgo la integridad y disponibilidad del sitio web. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar la autenticación de usuarios para enviar solicitudes manipuladas que desencadenan la inyección de objetos PHP.

Mitigación recomendada

Actualizar el plugin Jeg Kit for Elementor a la versión 3.2.11 o posterior. Revisar los logs de acceso para detectar actividades sospechosas relacionadas con la autenticación. Implementar medidas de seguridad adicionales, como restricciones de acceso y validación de entradas.

Señales de detección

Señales a observar incluyen intentos de acceso no autorizados en los logs, así como cambios inesperados en la configuración del plugin o en los archivos del servidor.

Alcance afectado

Las versiones del plugin Jeg Kit for Elementor hasta la 3.2.10 están afectadas. No se han confirmado casos en versiones posteriores a la 3.2.11.