All-in-One WP Migration <= 7.58 - Directory Traversal to File Deletion on Windows Hosts en ALL IN ONE WP Migration (inclusion local de archivos (LFI)) - version 7.59

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo traversal en el plugin All-in-One WP Migration, que permite la eliminación de archivos en servidores Windows. Esta falla afecta a versiones anteriores a la 7.59 y tiene una severidad media.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las rutas de los archivos, permitiendo a un atacante manipular estas rutas para acceder a directorios no autorizados. Esto puede resultar en la eliminación de archivos críticos del sistema en entornos Windows.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar archivos esenciales, lo que puede llevar a la pérdida de datos y a una interrupción del servicio. Esto podría afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza enviando solicitudes manipuladas al plugin que incluyen rutas de archivos maliciosas, lo que permite al atacante acceder a áreas restringidas del sistema de archivos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 7.59 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la revisión de permisos de archivos y la monitorización de actividades sospechosas en el servidor.

Señales de detección

Señales de riesgo pueden incluir registros de acceso inusuales que intentan acceder a rutas de archivos no estándar o la detección de archivos eliminados sin justificación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.59 del plugin All-in-One WP Migration.