WooCommerce <= 6.2.0 - Path Traversal via Tax Importer

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Path Traversal en el plugin WooCommerce, que afecta a las versiones anteriores a la 6.2.1. Este fallo permite la ejecución remota de código, lo que representa un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de las rutas de acceso durante el proceso de importación de impuestos. Esto permite a un atacante eludir las restricciones de acceso y acceder a archivos del sistema que normalmente estarían protegidos.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante ejecute código malicioso en el servidor, lo que podría comprometer la integridad y disponibilidad del sitio web, así como exponer datos sensibles de los usuarios y del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que incluyen rutas de archivo maliciosas, permitiendo así la ejecución de comandos no autorizados en el servidor.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WooCommerce a la versión 6.2.1 o superior. Además, se sugiere revisar los permisos de archivos y carpetas en el servidor para limitar el acceso no autorizado.

Señales de detección

Señales de riesgo pueden incluir intentos de acceso a archivos del sistema a través de registros de acceso, así como alertas de actividad inusual en el servidor que puedan indicar un intento de explotación de la vulnerabilidad.

Alcance afectado

Las versiones de WooCommerce hasta la 6.2.0 son vulnerables. Las instalaciones que no han actualizado a la versión 6.2.1 o superior están en riesgo.