Bit File Manager – 100% Free & Open Source File Manager and Code Editor for WordPress <= 6.5.5 - Authenticated (Subscriber+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Bit File Manager para WordPress, que permite la carga arbitraria de archivos a través de autenticación. Esta falla afecta a las versiones anteriores a la 6.5.6 y tiene un alto potencial de explotación.

Contexto técnico

La vulnerabilidad se clasifica como RCE (Ejecución Remota de Código) y se presenta en el plugin Bit File Manager, que permite a los usuarios autenticados (nivel de suscriptor o superior) cargar archivos sin restricciones adecuadas. Esto puede dar lugar a la ejecución de código malicioso en el servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a un atacante ejecutar código malicioso, lo que podría resultar en la pérdida de datos, la alteración del contenido del sitio o la toma de control total del servidor. Esto puede tener repercusiones graves en la reputación y la operativa del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la autenticación de un usuario con privilegios suficientes que aprovecha la falta de validación en el proceso de carga de archivos, permitiendo así la introducción de scripts o malware.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Bit File Manager a la versión 6.5.6 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la limitación de las capacidades de carga de archivos y la implementación de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen la detección de archivos inusuales en el directorio de carga o registros de actividad sospechosa por parte de usuarios autenticados. Monitorizar intentos de carga de archivos que no correspondan con los tipos permitidos también puede ser indicativo.

Alcance afectado

Las versiones de Bit File Manager anteriores a la 6.5.6 son las afectadas. Esto incluye todas las instalaciones que utilicen versiones hasta la 6.5.5 del plugin.