Enable SVG, WebP & ICO Upload <= 1.1.0 - Arbitrary File Upload

Resumen ejecutivo

La vulnerabilidad identificada en el plugin 'Enable SVG, WebP & ICO Upload' permite la carga arbitraria de archivos, lo que puede comprometer la seguridad del sitio. Esta falla afecta a las versiones hasta la 1.1.0 y fue corregida en la versión 1.1.1.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los archivos subidos, permitiendo que un atacante cargue archivos maliciosos que pueden ser ejecutados en el servidor. La superficie de ataque se amplía debido a la capacidad de cargar diferentes tipos de archivos.

Impacto potencial

El impacto potencial incluye la posibilidad de ejecución de código malicioso en el servidor, lo que podría llevar a la toma de control del sitio, robo de datos sensibles o la instalación de malware. Esto puede resultar en daños a la reputación y pérdidas económicas significativas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la carga de archivos maliciosos a través de formularios de carga de archivos del plugin, sin que se realicen las comprobaciones necesarias para validar el contenido del archivo.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.1.1 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la restricción de tipos de archivos permitidos y el uso de plugins de seguridad que monitoricen las cargas de archivos.

Señales de detección

Señales de posible explotación incluyen la aparición de archivos no autorizados en el servidor, cambios inesperados en el sistema de archivos y registros de acceso inusuales a las rutas de carga de archivos del plugin.

Alcance afectado

Las versiones del plugin 'Enable SVG, WebP & ICO Upload' hasta la 1.1.0 son las que se encuentran afectadas por esta vulnerabilidad. Las instalaciones que no han sido actualizadas a la versión 1.1.1 son vulnerables.