WP Compress – Image Optimizer [All-In-One] <= 6.10.33 - Unauthenticated Directory Traversal via css

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Compress – Image Optimizer, que permite la ejecución de un ataque de traversía de directorios no autenticado. Esta vulnerabilidad afecta a las versiones hasta la 6.10.33 y ha sido solucionada en la versión 6.10.34.

Contexto técnico

La vulnerabilidad se manifiesta a través de una falta de validación adecuada en las solicitudes, lo que permite a un atacante acceder a archivos del sistema de archivos del servidor. Esto se conoce como Local File Inclusion (LFI) y puede ser utilizado para acceder a información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos críticos del servidor, lo que podría comprometer la seguridad de la instalación de WordPress y exponer datos sensibles. Esto podría resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la aplicación, lo que les permite acceder a archivos que no deberían estar disponibles públicamente. Esto puede incluir archivos de configuración y otros datos sensibles.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WP Compress – Image Optimizer a la versión 6.10.34 o superior. Además, se sugiere revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening para limitar la exposición a este tipo de ataques.

Señales de detección

Las señales de que esta vulnerabilidad podría estar siendo explotada incluyen registros de acceso inusuales, intentos de acceso a archivos sensibles y alertas de seguridad del servidor que indiquen accesos no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.10.34 del plugin WP Compress – Image Optimizer. Se recomienda a los administradores de sitios que verifiquen las versiones instaladas.