VikBooking Hotel Booking Engine & PMS <= 1.8.10 - Unauthenticated Arbitrary File Deletion (vulnerabilidad) - version 1.8.11

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin VikBooking Hotel Booking Engine & PMS, que permite la eliminación no autenticada de archivos. Este fallo puede comprometer la integridad de los datos y la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se presenta en la versión 1.8.10 y afecta a la superficie de ataque del plugin, permitiendo a un atacante no autenticado realizar solicitudes que resulten en la eliminación de archivos arbitrarios del servidor.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la eliminación de archivos críticos puede llevar a la pérdida de datos esenciales y afectar la funcionalidad del sitio, además de potenciales repercusiones legales por la exposición de información sensible.

Vector de explotación

La explotación suele realizarse mediante el envío de solicitudes HTTP manipuladas que acceden a funciones no protegidas del plugin, permitiendo el borrado de archivos sin necesidad de autenticación.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 1.8.11. Actualiza vikbooking a la versión 1.8.11 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 1.8.11, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Revisar los logs de acceso en busca de solicitudes inusuales que intenten acceder a funciones de borrado de archivos, así como cambios inesperados en la estructura de archivos del servidor.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin VikBooking hasta la 1.8.10. No se han confirmado otros escenarios de explotación en versiones posteriores.