ShortPixel Adaptive Images <= 3.8.3 - Authenticated (Admin+) Server-Side Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el plugin ShortPixel Adaptive Images, afectando a versiones hasta la 3.8.3. Esta vulnerabilidad permite a un atacante autenticado con privilegios de administrador realizar solicitudes maliciosas desde el servidor.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes a servidores externos, permitiendo a un atacante que tenga acceso de administrador enviar peticiones a direcciones no autorizadas. Esto puede comprometer la seguridad del servidor y la integridad de los datos.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a información sensible del servidor o realizar acciones no autorizadas, lo que podría afectar gravemente la seguridad del sistema y la confianza de los usuarios en la plataforma.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes realizadas por el plugin, permitiendo al atacante redirigir las peticiones hacia recursos internos o externos no seguros.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 3.8.4 o superior. Además, se debe revisar la configuración del servidor y aplicar medidas de hardening, como restringir las direcciones a las que se pueden enviar solicitudes desde el servidor.

Señales de detección

Se pueden detectar intentos de explotación observando registros de acceso inusuales que indiquen solicitudes a direcciones no autorizadas o patrones de tráfico inusuales desde cuentas de administrador.

Alcance afectado

Las versiones del plugin ShortPixel Adaptive Images hasta la 3.8.3 están afectadas. Se recomienda a los usuarios verificar si su instalación está en esta versión.