Adning Advertising <= 1.5.5 - Unauthenticated Arbitrary File Deletion via Path Traversal en Angwp (inclusion local de archivos (LFI)) - version 1.5.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación arbitraria de archivos no autenticada en el plugin Adning Advertising, que afecta a versiones hasta la 1.5.5. Esta vulnerabilidad, catalogada como de gravedad media, permite a un atacante eliminar archivos del servidor a través de una técnica de recorrido de ruta.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las rutas de archivos, permitiendo que un atacante manipule la entrada para acceder a archivos sensibles del sistema. Esto se conoce como 'Path Traversal', donde se pueden utilizar secuencias de caracteres especiales para navegar fuera de los directorios permitidos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la eliminación de archivos críticos del servidor, lo que podría llevar a la interrupción del servicio, pérdida de datos o incluso la posibilidad de comprometer la integridad del sitio web. Esto puede resultar en daños económicos y reputacionales para las empresas afectadas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen rutas maliciosas, lo que les permite acceder y eliminar archivos sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Adning Advertising a la versión 1.5.6 o superior. Además, se sugiere revisar los permisos de archivo y las configuraciones del servidor para limitar el acceso a archivos críticos y aplicar medidas de seguridad adicionales como firewalls y monitoreo de logs.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a rutas de archivos fuera de los directorios estándar, así como errores en el servidor relacionados con la eliminación de archivos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Adning Advertising anteriores a la 1.5.6. Es crucial que los usuarios de este plugin verifiquen su instalación y realicen las actualizaciones necesarias.