File Manager Pro – Filester <= 1.8 - Authenticated (Admin+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin File Manager Pro – Filester, que permite la carga arbitraria de archivos por usuarios autenticados con privilegios de administrador. Esta vulnerabilidad, catalogada con un CVSS de 7.2, puede comprometer la seguridad del sitio web.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los archivos que pueden ser subidos por administradores. Esto permite a un atacante autenticado cargar archivos maliciosos en el servidor, lo que podría llevar a la ejecución de código arbitrario.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de datos, la alteración del sitio web y la posible toma de control total del mismo. Esto representa un riesgo significativo tanto para la integridad del negocio como para la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad accediendo al panel de administración y utilizando las funcionalidades del plugin para cargar archivos maliciosos sin las restricciones adecuadas.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.8.1, que corrige esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar políticas de seguridad más estrictas para la gestión de archivos.

Señales de detección

Se deben monitorizar los logs de actividad del servidor en busca de intentos de carga de archivos inusuales, así como cualquier comportamiento sospechoso en las cuentas de administrador.

Alcance afectado

El problema afecta a todas las versiones del plugin File Manager Pro – Filester hasta la 1.8, siendo necesario actualizar a la 1.8.1 para mitigar el riesgo.