HUSKY – Products Filter Professional for WooCommerce <= 1.3.6.5 - Unauthenticated Local File Inclusion en Woocommerce Products Filter - version 1.3.6.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin HUSKY – Products Filter Professional para WooCommerce, que permite la inclusión de archivos locales sin autenticación. Esta falla afecta a las versiones hasta la 1.3.6.5 y puede ser explotada para ejecutar código remotamente.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes de archivos, permitiendo a un atacante acceder a archivos del sistema sin necesidad de autenticación. Esto se traduce en una vulnerabilidad de inclusión de archivos locales (LFI) que puede ser utilizada para ejecutar código malicioso en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad es severo, ya que permite a un atacante ejecutar código en el servidor, lo que podría comprometer la integridad, disponibilidad y confidencialidad de los datos. Esto puede resultar en pérdida de datos, alteración del sitio web y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen rutas de archivos locales, lo que les permite acceder a información sensible y ejecutar código malicioso sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.3.6.6 o superior inmediatamente. Además, se deben revisar los permisos de archivos y directorios, y aplicar prácticas de hardening en el servidor para limitar el acceso a archivos sensibles.

Señales de detección

Señales de posible explotación incluyen registros de acceso que muestren intentos de carga de archivos inusuales o solicitudes que intenten acceder a archivos del sistema. Monitorizar la actividad del servidor puede ayudar a identificar patrones sospechosos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3.6.6 del plugin HUSKY – Products Filter Professional para WooCommerce. Es importante verificar la instalación del plugin en todas las instancias de WooCommerce.