Converter for Media – Optimize images | Convert WebP & AVIF <= 6.5.1 - Unauthenticated Server-Side Request Forgery via src

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin 'Converter for Media' para WordPress, afectando a las versiones hasta la 6.5.1. Esta vulnerabilidad permite a un atacante no autenticado realizar solicitudes maliciosas desde el servidor.

Contexto técnico

La vulnerabilidad SSRF en el plugin 'Converter for Media' permite a un atacante enviar peticiones desde el servidor a direcciones internas o externas, potencialmente exponiendo datos sensibles o servicios internos. Esto ocurre debido a la falta de validación adecuada de las entradas proporcionadas por el usuario.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría acceder a recursos internos del servidor, lo que puede llevar a la exposición de información confidencial o a la manipulación de servicios. Esto podría afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la manipulación de las solicitudes enviadas al plugin, permitiendo al atacante especificar direcciones URL que el servidor intentará acceder sin las debidas restricciones.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 6.5.2 o superior. Además, se debe revisar la configuración del servidor y aplicar medidas de seguridad adicionales, como la restricción de acceso a servicios internos.

Señales de detección

Señales de posible explotación incluyen registros de accesos inusuales a recursos internos y un aumento en las solicitudes HTTP que intentan acceder a direcciones no autorizadas.

Alcance afectado

Las versiones del plugin 'Converter for Media' hasta la 6.5.1 son vulnerables, por lo que se recomienda a los usuarios de versiones anteriores que realicen la actualización a la versión corregida.