AI Engine <= 3.3.2 - Authenticated (Editor+) Arbitrary File Upload via 'filename' Parameter in update_media_metadata Endpoint

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin AI Engine, que permite la carga arbitraria de archivos a través del parámetro 'filename' en el endpoint update_media_metadata. Esta vulnerabilidad afecta a las versiones hasta la 3.3.2 y fue publicada el 27 de enero de 2026.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de los archivos subidos, lo que permite a usuarios autenticados con permisos de Editor o superiores cargar archivos maliciosos en el servidor. Esto se produce a través del endpoint update_media_metadata, que debería restringir el tipo de archivos que se pueden subir.

Impacto potencial

El impacto potencial es significativo, ya que la carga de archivos no autorizados puede llevar a la ejecución de código malicioso en el servidor, comprometiendo la seguridad del sitio web y exponiendo datos sensibles. Esto puede resultar en pérdidas financieras y de reputación para la organización afectada.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la autenticación con cuentas de usuario que tienen permisos de Editor o superiores, utilizando el endpoint vulnerable para cargar archivos maliciosos.

Mitigación recomendada

Se recomienda actualizar el plugin AI Engine a la versión 3.3.3 o superior. Además, es aconsejable implementar controles adicionales de validación de archivos y revisar los permisos de usuario para limitar la capacidad de carga de archivos a solo aquellos que realmente lo necesiten.

Señales de detección

Señales de posible explotación incluyen la detección de archivos inusuales en el servidor, especialmente aquellos con extensiones no permitidas, así como solicitudes anómalas al endpoint update_media_metadata.

Alcance afectado

Las versiones del plugin AI Engine hasta la 3.3.2 están afectadas por esta vulnerabilidad. Es crucial que los usuarios de este plugin verifiquen su versión y apliquen las actualizaciones necesarias.