Kirki – Freeform Page Builder, Website Builder & Customizer < 6.0.13 - Unauthenticated PHP Object Injection (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Kirki, que permite la inyección de objetos PHP sin autenticación. Esta falla puede ser explotada por atacantes para comprometer la seguridad del sitio web, afectando su operativa y la integridad de los datos.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Kirki, utilizado para la creación de páginas y personalización de sitios. La inyección de objetos PHP se produce debido a un fallo en la validación de entrada, lo que permite a un atacante enviar datos maliciosos sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que puede permitir a un atacante ejecutar código arbitrario en el servidor, lo que compromete la seguridad del sitio y puede llevar a la pérdida de datos o a la toma de control del mismo. Esto puede resultar en daños reputacionales y financieros significativos para las organizaciones afectadas.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas al servidor que ejecuten código PHP no autorizado, aprovechando la falta de autenticación en el proceso.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.0.13 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls y restricciones de acceso.

Señales de detección

Señales de alerta incluyen registros de solicitudes inusuales al servidor que intenten ejecutar funciones PHP no autorizadas, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Kirki anteriores a la 6.0.13 están afectadas. No se han confirmado casos de explotación en versiones posteriores.