Autoptimize <= 2.7.7 - Arbitrary File Upload (and Remote Code Execution) via Import Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Autoptimize, que permite la carga arbitraria de archivos y la ejecución remota de código en versiones hasta 2.7.7. Esta falla podría comprometer gravemente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la función de importación de configuraciones del plugin, que no valida adecuadamente los archivos cargados. Esto permite a un atacante subir archivos maliciosos que pueden ser ejecutados en el servidor, facilitando la ejecución remota de código.

Impacto potencial

El impacto de esta vulnerabilidad puede ser devastador, permitiendo a un atacante tomar control total del sitio web afectado. Esto podría resultar en la pérdida de datos, alteración del contenido del sitio o incluso la propagación de malware a los visitantes.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando una solicitud especialmente diseñada que aproveche la falta de validación en la carga de archivos, lo que les permite ejecutar código malicioso en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Autoptimize a la versión 2.7.8 o superior. Además, es aconsejable revisar los permisos de archivo y directorio, así como implementar medidas de seguridad adicionales como firewalls y escáneres de malware.

Señales de detección

Las señales de posible explotación incluyen la presencia de archivos inusuales en el servidor, registros de acceso sospechosos o intentos de carga de archivos en las rutas del plugin.

Alcance afectado

Las versiones del plugin Autoptimize hasta la 2.7.7 son vulnerables. Se recomienda a los administradores de WordPress que verifiquen sus instalaciones para asegurar que no están utilizando versiones afectadas.