Uncanny Automator <= 7.3.1.4 - Unauthenticated PHP Object Injection to Arbitrary File Deletion via Forminator Submitted-Field Token (vulnerabilidad) - version 7.4.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Uncanny Automator, que permite la inyección de objetos PHP no autenticados, facilitando la eliminación arbitraria de archivos. Esta falla, catalogada con una severidad alta, puede comprometer la integridad de los sistemas afectados.

Contexto técnico

El fallo se origina en el manejo inadecuado de los tokens de campo enviados a través de Forminator, permitiendo a un atacante no autenticado ejecutar código PHP malicioso. La superficie de ataque se centra en formularios que utilizan este plugin, donde los datos no son correctamente validados.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la eliminación no autorizada de archivos críticos, afectando la disponibilidad y la integridad del sitio web. Esto puede conllevar a pérdidas operativas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes pueden enviar solicitudes manipuladas a través de formularios que utilizan el plugin, aprovechando la falta de validación en los tokens para ejecutar código malicioso.

Mitigación recomendada

Actualizar el plugin Uncanny Automator a la versión 7.4.0 o superior. Revisar y validar la configuración de los formularios utilizados con Forminator. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web, para mitigar riesgos futuros.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales en solicitudes a formularios, así como cualquier intento de eliminación de archivos no autorizado.

Alcance afectado

Las versiones de Uncanny Automator hasta la 7.3.1.4 son vulnerables. Las instalaciones que han actualizado a la versión 7.4.0 o superior no están afectadas.