Image Optimizer, Resizer and CDN – Sirv <= 7.2.7 - Missing Authorization to Authenticated (Contributor+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Sirv, que permite la carga arbitraria de archivos sin la debida autorización para usuarios autenticados con rol de contribuidor o superior. Esta falla afecta a las versiones hasta la 7.2.7 y fue publicada el 21 de agosto de 2024.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en el proceso de carga de archivos. Esto permite a usuarios autenticados, como los contribuyentes, cargar archivos potencialmente maliciosos en el servidor, lo que compromete la seguridad de la instalación de WordPress.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso en el servidor, lo que podría resultar en la toma de control total del sitio web. Esto no solo afecta la integridad de los datos, sino que también puede dañar la reputación de la empresa y provocar pérdidas económicas significativas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas para cargar archivos no autorizados a través de la funcionalidad del plugin, sin que se apliquen las restricciones necesarias.

Mitigación recomendada

Se recomienda actualizar el plugin Sirv a la versión 7.2.8 o superior para corregir esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la restricción de permisos de usuario y la revisión de los registros de actividad del sitio.

Señales de detección

Se pueden identificar intentos de explotación mediante la monitorización de registros de acceso y errores, buscando patrones inusuales en las solicitudes de carga de archivos, especialmente desde cuentas de usuario con permisos de contribuidor.

Alcance afectado

Las versiones del plugin Sirv hasta la 7.2.7 están afectadas. Las instalaciones que utilicen estas versiones son vulnerables a la explotación descrita.