Zita Elementor Site Library <= 1.6.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload

Resumen ejecutivo

Se ha detectado una vulnerabilidad crítica en el plugin Zita Elementor Site Library, que permite la carga arbitraria de archivos por usuarios autenticados con rol de suscriptor o superior. Esta falla, identificada como CVE-2024-37420, tiene un CVSS de 9.9.

Contexto técnico

La vulnerabilidad se origina por la falta de autorización adecuada en el proceso de carga de archivos, lo que permite a usuarios no autorizados subir archivos maliciosos al servidor. Esto representa una superficie de ataque que puede ser explotada por cualquier usuario autenticado con permisos de suscriptor o superiores.

Impacto potencial

El impacto potencial de esta vulnerabilidad es severo, ya que permite a un atacante cargar archivos maliciosos que podrían comprometer la integridad del sitio web, exponer datos sensibles o facilitar el acceso no autorizado al servidor. Esto puede resultar en pérdidas económicas y daños a la reputación de la organización.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la autenticación como usuarios con rol de suscriptor o superior y utilizando formularios de carga de archivos disponibles en el plugin, sin que se realicen las validaciones necesarias para restringir el tipo de archivos permitidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Zita Elementor Site Library a la versión 1.6.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de seguridad más estrictas en la carga de archivos.

Señales de detección

Señales de riesgo incluyen la presencia de archivos no autorizados en el servidor, registros de actividad sospechosa de usuarios autenticados y alertas de seguridad relacionadas con cargas de archivos inusuales.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Zita Elementor Site Library hasta la 1.6.1. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.