WP Live Chat Support Pro <= 8.0.26 - Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Live Chat Support Pro, que permite la carga arbitraria de archivos. Esta falla afecta a las versiones hasta la 8.0.26 y puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la gestión inadecuada de las cargas de archivos, lo que permite a un atacante subir archivos maliciosos al servidor. La superficie de ataque se amplía debido a la falta de validación en los tipos de archivo permitidos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso en el servidor, lo que podría llevar a la pérdida de datos, compromisos de seguridad y daños a la reputación de la organización. Además, puede dar acceso no autorizado a información sensible.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que permiten la carga de archivos no autorizados, lo que puede incluir scripts maliciosos que se ejecutan en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Live Chat Support Pro a la versión 8.0.27 o superior. Además, se debe implementar una validación estricta de los tipos de archivo permitidos y restringir los permisos de escritura en directorios sensibles.

Señales de detección

Señales de posible explotación incluyen la detección de archivos inusuales en el servidor, cambios inesperados en los permisos de archivos y registros de acceso que muestren intentos de carga de archivos sospechosos.

Alcance afectado

Las versiones del plugin WP Live Chat Support Pro hasta la 8.0.26 están afectadas por esta vulnerabilidad. Se recomienda revisar todas las instalaciones que utilicen este plugin.