Cost Calculator Builder <= 3.6.3 - Unauthenticated Arbitrary File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Cost Calculator Builder, que permite la eliminación arbitraria de archivos sin necesidad de autenticación. Esta vulnerabilidad afecta a las versiones hasta la 3.6.3 y tiene un alto nivel de severidad con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que un atacante puede ejecutar acciones maliciosas sin estar autenticado. Esto se traduce en la posibilidad de eliminar archivos arbitrarios en el servidor, lo que puede comprometer la integridad del sitio web.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante eliminar archivos críticos del sistema, lo que podría resultar en la pérdida de datos y afectar la disponibilidad del servicio. Esto puede llevar a pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas al servidor que desencadenan la eliminación de archivos sin necesidad de autenticación previa. Este tipo de ataque puede realizarse de forma remota, aumentando su riesgo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Cost Calculator Builder a la versión 3.6.4 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la restricción de acceso a archivos sensibles y el uso de firewalls de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales que intentan acceder a archivos de configuración o directorios críticos, así como cambios inesperados en la estructura de archivos del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Cost Calculator Builder hasta la 3.6.3. Se recomienda a los administradores de sitios que verifiquen si utilizan este plugin y tomen medidas inmediatas.