Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar < 5.3.7 - Authenticated (Contributor+) PHP Object Injection en Mage Eventpress

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Event Booking Manager para WooCommerce, que permite la inyección de objetos PHP a través de usuarios autenticados con rol de contribuyente o superior. Esta falla puede comprometer la seguridad del sitio y permitir la ejecución de código malicioso.

Contexto técnico

La vulnerabilidad se presenta en versiones anteriores a la 5.3.7 del plugin, donde un atacante autenticado puede manipular objetos PHP, facilitando la ejecución remota de código. La superficie de ataque se centra en las funciones que gestionan las reservas de eventos y la interacción con los datos del usuario.

Impacto potencial

El impacto en la seguridad es significativo, ya que un atacante podría ejecutar código arbitrario en el servidor, comprometiendo datos sensibles y la integridad del sistema. Esto podría resultar en pérdidas financieras y daños a la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la autenticación como usuario con rol de contribuyente o superior, seguido de la manipulación de solicitudes que afectan a los objetos PHP del plugin.

Mitigación recomendada

Actualizar el plugin Event Booking Manager para WooCommerce a la versión 5.3.7 o superior. Revisar los registros de actividad de usuarios para detectar accesos no autorizados. Implementar medidas de seguridad adicionales, como la restricción de roles de usuario y la monitorización de cambios en el sistema.

Señales de detección

Señales de riesgo incluyen registros de actividad inusuales de usuarios autenticados y cambios en los objetos PHP que no corresponden con las funciones normales del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.3.7. No se han confirmado casos de explotación en versiones posteriores.