PPOM – Product Addons & Custom Fields for WooCommerce <= 33.0.15 - Unauthenticated Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin PPOM – Product Addons & Custom Fields para WooCommerce, que permite la carga arbitraria de archivos sin autenticación. Esta falla afecta a las versiones hasta la 33.0.15 y tiene un CVSS de 9.8, lo que indica un alto riesgo de explotación.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de carga de archivos del plugin, lo que permite a un atacante no autenticado subir archivos maliciosos al servidor. Esto puede llevar a la ejecución remota de código (RCE), comprometiendo la seguridad del sitio web.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso en el servidor, lo que podría comprometer la integridad y disponibilidad del sitio, así como la confidencialidad de los datos de los usuarios. Esto puede tener repercusiones graves en la reputación del negocio y en la confianza del cliente.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes HTTP maliciosas que permiten la carga de archivos no autorizados, lo que puede ser utilizado para ejecutar código en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 33.0.16 o superior. Además, se deben implementar medidas de seguridad adicionales, como la restricción de tipos de archivos permitidos y la validación de los archivos subidos.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en la carga de archivos, así como la presencia de archivos sospechosos en los directorios del servidor. Monitorear los logs de acceso y error puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 33.0.16 del plugin PPOM – Product Addons & Custom Fields para WooCommerce.