Premmerce Wishlist for WooCommerce <= 1.1.10 - Unauthenticated Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Premmerce Wishlist para WooCommerce, que permite la inclusión de archivos locales sin autenticación. Esta falla afecta a las versiones hasta la 1.1.10 y ha sido catalogada con un alto nivel de severidad.

Contexto técnico

La vulnerabilidad se presenta como una inclusión de archivos locales (LFI) que puede ser explotada sin necesidad de autenticación. Esto permite a un atacante acceder a archivos sensibles del servidor, lo que podría comprometer la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede tener consecuencias graves para la seguridad de la tienda online, incluyendo la exposición de datos confidenciales y la posibilidad de ejecución remota de código, lo que podría llevar a un control total del servidor afectado.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que permiten la inclusión de archivos del sistema, facilitando el acceso a información sensible o la ejecución de comandos maliciosos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premmerce Wishlist a la versión 1.1.11 o superior. Además, se sugiere realizar un hardening del servidor y revisar los permisos de archivos para limitar el acceso no autorizado.

Señales de detección

Se pueden identificar intentos de explotación mediante registros de acceso que muestren patrones inusuales de solicitudes a archivos locales o errores relacionados con la inclusión de archivos en el servidor.

Alcance afectado

Las versiones del plugin Premmerce Wishlist para WooCommerce hasta la 1.1.10 están afectadas. Es crucial que los usuarios de estas versiones realicen la actualización correspondiente.