File Away <= 3.9.9.0.1 - Missing Authorization to Unauthenticated File Upload via upload Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin File Away, que permite la carga de archivos sin autorización previa. Esta falla afecta a las versiones hasta la 3.9.9.0.1 y tiene un CVSS de 9.8, lo que indica su alta gravedad.

Contexto técnico

El fallo radica en la ausencia de controles de autorización en la función de carga de archivos, lo que permite a usuarios no autenticados subir archivos al servidor. Esto puede ser aprovechado para ejecutar código malicioso o comprometer la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la ejecución de código arbitrario, comprometiendo la seguridad del sitio web y exponiendo datos sensibles. Esto podría tener repercusiones significativas en la reputación de la empresa y en la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la función de carga de archivos del plugin, lo que les permite cargar archivos sin necesidad de autenticación.

Mitigación recomendada

Se recomienda actualizar el plugin File Away a la versión 3.9.9.0.1 o superior para cerrar esta vulnerabilidad. Además, se sugiere implementar medidas adicionales de seguridad, como la validación de archivos subidos y el uso de firewalls de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen registros de intentos de carga de archivos por usuarios no autenticados y cambios inesperados en el sistema de archivos del servidor.

Alcance afectado

Las versiones del plugin File Away hasta la 3.9.9.0.1 están afectadas. Es crucial revisar las instalaciones que utilicen este plugin para asegurar que no se encuentren en la versión vulnerable.