mFolio Lite <= 1.2.1 - Missing Authorization to Authenticated (Author+) File Upload via EXE and SVG Files

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin mFolio Lite, que permite la carga de archivos sin la autorización adecuada. Esta falla afecta a versiones hasta la 1.2.1 y podría comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización para la carga de archivos, permitiendo que usuarios autenticados (con rol de autor o superior) suban archivos maliciosos, como EXE y SVG. Esto expone el sistema a la ejecución de código no autorizado.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso en el servidor, lo que podría llevar a la pérdida de datos, compromisos de seguridad y daños a la reputación del negocio. Es crucial abordar esta falla para mantener la integridad del sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al autenticarse como usuarios con permisos de autor o superiores y cargar archivos maliciosos que luego pueden ejecutarse en el servidor.

Mitigación recomendada

Se recomienda actualizar el plugin mFolio Lite a la versión 1.2.2 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar las configuraciones de permisos de usuario y realizar auditorías de seguridad periódicas.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de acceso y actividades inusuales en las cargas de archivos, especialmente aquellos con extensiones EXE y SVG.

Alcance afectado

Las versiones del plugin mFolio Lite hasta la 1.2.1 están afectadas. Es importante verificar la versión instalada en cada sitio para asegurar que se ha aplicado la actualización necesaria.