WP Import – Ultimate CSV XML Importer for WordPress <= 7.27 - Authenticated (Subscriber+) Arbitrary File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Import – Ultimate CSV XML Importer para WordPress, que permite la eliminación arbitraria de archivos. Esta vulnerabilidad afecta a las versiones hasta la 7.27 y ha sido clasificada con un alto nivel de severidad.

Contexto técnico

La vulnerabilidad se presenta en la funcionalidad del plugin que permite a los usuarios autenticados con el rol de 'Suscriptor' o superior eliminar archivos arbitrarios del servidor. Esto se debe a una falta de validación adecuada en las solicitudes de eliminación de archivos, lo que expone la superficie de ataque a usuarios con permisos insuficientes.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos críticos y afectar la integridad del sitio web. Además, podría permitir a un atacante eliminar archivos esenciales del sistema, comprometiendo la disponibilidad y la confianza del sitio ante los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de la interfaz del plugin, lo que les permite eliminar archivos sin la debida autorización, siempre que tengan acceso como usuarios autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 7.28 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración de WordPress para limitar el acceso a funciones críticas.

Señales de detección

Se deben monitorizar los registros de acceso y actividad del plugin para detectar patrones inusuales de eliminación de archivos, así como cualquier intento de acceso no autorizado por parte de usuarios con permisos limitados.

Alcance afectado

Las versiones del plugin WP Import – Ultimate CSV XML Importer hasta la 7.27 son las afectadas. Se debe prestar atención a las instalaciones que utilicen este plugin en su configuración actual.