IQ Testimonials <= 2.2.7 - Unauthenticated Arbitrary File Upload (subida arbitraria de archivos)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin IQ Testimonials, que permite la carga arbitraria de archivos sin autenticación en versiones anteriores a la 2.2.7. Esta vulnerabilidad tiene un CVSS de 9.8, lo que indica su alta severidad.

Contexto técnico

El fallo se origina en un bypass de autenticación que permite a un atacante cargar archivos maliciosos en el servidor. La superficie de ataque se amplía al permitir la ejecución de código no autorizado, lo que puede comprometer la integridad del sitio web.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código remoto, lo que pone en riesgo la seguridad del sitio y puede resultar en la pérdida de datos o la toma de control del mismo. Esto podría tener repercusiones graves para la reputación y la operación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que permiten la carga de archivos sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el plugin IQ Testimonials a la versión 2.2.7 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la restricción de tipos de archivos permitidos y el uso de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen la detección de archivos inusuales en el directorio de carga y registros de acceso que muestran intentos de carga de archivos sin autenticación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.7 del plugin IQ Testimonials.