Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.12 - Unauthenticated PHP Object Injection (vulnerabilidad) - version 6.0.13

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin Kirki, que permite el bypass de autenticación. Esta falla, catalogada como de alta severidad, puede comprometer la seguridad operativa de los sitios afectados.

Contexto técnico

El fallo se presenta en versiones del plugin Kirki hasta la 6.0.12, permitiendo a un atacante no autenticado ejecutar código PHP malicioso. La superficie de ataque incluye formularios y puntos de entrada donde se procesan datos sin validación adecuada.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante obtener acceso no autorizado a funcionalidades administrativas, comprometiendo así la integridad y confidencialidad de los datos del sitio. Esto puede resultar en daños reputacionales y pérdidas económicas significativas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios o APIs del plugin, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.0.13 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad del sitio, especialmente en los puntos de entrada del plugin. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Señales como intentos de acceso a funciones administrativas sin autenticación previa en los logs de acceso pueden indicar un intento de explotación.

Alcance afectado

Las versiones del plugin Kirki hasta la 6.0.12 están afectadas. No se han reportado casos de explotación en versiones superiores a la 6.0.13.