WP Ultimate CSV Importer <= 7.9.8 - Authenticated (Author+) PHP File Creation to Remote Code Execution

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Ultimate CSV Importer, que permite la ejecución remota de código a través de la creación de archivos PHP por usuarios autenticados. Esta falla afecta a las versiones hasta la 7.9.8 y fue publicada el 3 de agosto de 2023.

Contexto técnico

La vulnerabilidad permite a los usuarios con rol de autor o superior crear archivos PHP en el servidor, lo que puede llevar a la ejecución remota de código malicioso. Este fallo se origina en la falta de validación adecuada de las entradas al procesar archivos CSV.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a un atacante ejecutar código arbitrario, lo que podría resultar en la toma de control total del servidor, pérdida de datos o interrupción del servicio.

Vector de explotación

Generalmente, un atacante autenticado puede cargar un archivo CSV diseñado para crear un archivo PHP malicioso en el servidor, lo que posteriormente le permite ejecutar código de forma remota.

Mitigación recomendada

Actualizar el plugin WP Ultimate CSV Importer a la versión 7.9.9 o superior. Además, se recomienda revisar los permisos de usuario y aplicar medidas de hardening en el servidor para limitar la ejecución de archivos PHP no autorizados.

Señales de detección

Monitorear registros de acceso y errores en el servidor para detectar intentos de carga de archivos sospechosos. También se pueden establecer alertas para cambios inusuales en los archivos del sistema.

Alcance afectado

Las versiones del plugin WP Ultimate CSV Importer hasta la 7.9.8 están afectadas. Es crucial verificar todas las instalaciones que utilicen este plugin.