Make Connector <= 1.5.10 - Authenticated (Administrator+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Make Connector, que permite la carga arbitraria de archivos por usuarios autenticados con privilegios de administrador. Esta falla, catalogada con un CVSS de 7.2, puede comprometer gravemente la seguridad de la instalación de WordPress.

Contexto técnico

La vulnerabilidad se origina en la capacidad del plugin Make Connector para permitir la carga de archivos sin la adecuada validación de los mismos. Esto crea una superficie de ataque donde un administrador podría cargar archivos maliciosos, potencialmente ejecutables, en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante con acceso administrativo cargar archivos maliciosos, lo que podría llevar a la ejecución de código arbitrario, comprometiendo la integridad y disponibilidad del sitio web, así como la confidencialidad de los datos almacenados.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la autenticación como administrador y la utilización de la funcionalidad de carga de archivos del plugin, sin que se realicen las comprobaciones de seguridad adecuadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Make Connector a la versión 1.6.0 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de seguridad adicionales, como la limitación de privilegios y la implementación de un firewall de aplicaciones web.

Señales de detección

Señales de riesgo incluyen intentos de carga de archivos inusuales, cambios inesperados en el sistema de archivos del servidor y alertas de seguridad relacionadas con la ejecución de scripts no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Make Connector hasta la 1.5.10. Se debe verificar la instalación del plugin en las páginas de WordPress para determinar si están en riesgo.