Bit File Manager – 100% Free & Open Source File Manager and Code Editor for WordPress <= 6.5.7 - Authenticated (Subscriber+) Limited JavaScript File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código en el plugin Bit File Manager para WordPress, que afecta a las versiones hasta la 6.5.7. Esta vulnerabilidad, catalogada con una severidad media, permite a usuarios autenticados con rol de suscriptor o superior cargar archivos JavaScript de forma limitada.

Contexto técnico

El fallo se origina en la gestión inadecuada de las cargas de archivos dentro del plugin, permitiendo que usuarios autenticados suban archivos potencialmente maliciosos. La superficie de ataque se centra en la funcionalidad de carga de archivos del plugin, lo que puede ser explotado por usuarios con permisos adecuados.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar código malicioso en el servidor, comprometiendo la integridad y confidencialidad de los datos. Esto podría resultar en la pérdida de información sensible y afectar la reputación del negocio, así como su operativa.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante la carga de archivos JavaScript a través de la interfaz del plugin, lo que les permite ejecutar código arbitrario en el servidor una vez que el archivo es procesado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Bit File Manager a la versión 6.5.8 o superior. Además, se sugiere revisar los permisos de usuario, limitando el acceso a la funcionalidad de carga de archivos solo a roles necesarios y aplicar buenas prácticas de seguridad en la gestión de archivos.

Señales de detección

Señales de posible explotación incluyen la detección de archivos JavaScript inusuales en las rutas de carga del plugin y registros de actividad que muestren intentos de carga de archivos por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones del plugin Bit File Manager hasta la 6.5.7 son las afectadas. Se recomienda a los administradores de WordPress verificar la versión instalada y proceder a la actualización.