OMGF Pro <= 5.2.6 - Unauthenticated Arbitrary File Upload via @import URL Reflection en Host Google Fonts PRO (subida arbitraria de archivos) - version 5.2.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin OMGF Pro (versiones hasta 5.2.6) que permite la carga no autenticada de archivos arbitrarios. Esta falla de seguridad puede ser explotada para comprometer la integridad del sitio web y exponer datos sensibles.

Contexto técnico

La vulnerabilidad se origina en una falta de validación en la gestión de URLs de importación, permitiendo a un atacante subir archivos maliciosos sin necesidad de autenticación. La superficie de ataque se centra en las solicitudes que utilizan el componente de importación del plugin.

Impacto potencial

El impacto de esta vulnerabilidad es severo, ya que permite a un atacante cargar archivos potencialmente dañinos, lo que podría resultar en la ejecución de código malicioso en el servidor. Esto puede llevar a la pérdida de datos, interrupción del servicio y daño a la reputación de la empresa.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas que aprovechan la falta de autenticación en el manejo de archivos a través de la URL de importación.

Mitigación recomendada

Actualizar el plugin OMGF Pro a la versión 5.2.7 o superior para cerrar la vulnerabilidad. Revisar los archivos y configuraciones del servidor para detectar posibles cargas maliciosas. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de logs, para prevenir futuras explotaciones.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales en la URL de importación del plugin y la aparición de archivos no autorizados en el directorio de carga.

Alcance afectado

Las versiones afectadas son todas las versiones de OMGF Pro hasta la 5.2.6. No se han confirmado casos de explotación en versiones posteriores a la 5.2.7.