Export and Import Users and Customers <= 2.4.8 - Authenticated (Shop Manager+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Export and Import Users and Customers' para WooCommerce, que permite la carga arbitraria de archivos por usuarios autenticados con rol de Shop Manager o superior. Esta falla, catalogada con un CVSS de 7.2, afecta a las versiones hasta la 2.4.8.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de los archivos subidos, lo que permite a un atacante autenticado cargar archivos maliciosos en el servidor. Esto puede comprometer la integridad del sistema y la seguridad de los datos almacenados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de código arbitrario en el servidor, lo que podría llevar a la pérdida de datos, compromisos de seguridad, y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la autenticación como Shop Manager o usuario con permisos elevados, seguido de la carga de un archivo malicioso a través de la funcionalidad del plugin.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 2.4.9 o superior. Además, es aconsejable revisar los permisos de los roles de usuario y aplicar medidas de seguridad adicionales, como la validación de archivos subidos.

Señales de detección

Se deben monitorizar los registros de acceso y las actividades de carga de archivos en el servidor, así como cualquier comportamiento inusual que pueda indicar un intento de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4.9 del plugin 'Export and Import Users and Customers' para WooCommerce.