Mollie Payments for WooCommerce <= 7.3.11 - Authenticated (Shop Manager+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Mollie Payments for WooCommerce, que permite la carga arbitraria de archivos por usuarios autenticados con rol de Shop Manager o superior. Esta falla afecta a las versiones hasta la 7.3.11 y ha sido corregida en la versión 7.3.12.

Contexto técnico

La vulnerabilidad se clasifica como ejecución remota de código (RCE) y se origina en la falta de validación adecuada de los archivos subidos por usuarios con privilegios. Esto permite que un atacante con acceso legítimo pueda cargar archivos maliciosos en el servidor, potencialmente comprometiendo la instalación de WordPress.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, dado que permite a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la toma de control del sitio web, robo de datos sensibles o daños a la infraestructura del servidor. Esto puede traducirse en pérdidas financieras y de reputación para el negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado, como un Shop Manager, suba un archivo malicioso a través de las funcionalidades del plugin, aprovechando la falta de controles adecuados en la gestión de archivos.

Mitigación recomendada

Se recomienda actualizar el plugin Mollie Payments for WooCommerce a la versión 7.3.12 o superior. Además, se sugiere revisar los permisos de usuario y aplicar buenas prácticas de seguridad, como la desactivación de la carga de archivos innecesarios y el uso de plugins de seguridad para monitorizar actividades sospechosas.

Señales de detección

Señales de posible explotación incluyen la aparición de archivos inusuales en el directorio de uploads, registros de actividad que muestren cargas de archivos por usuarios no autorizados o intentos de ejecución de scripts no reconocidos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.3.12 del plugin Mollie Payments for WooCommerce. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.