BookPro <= 1.1.0 - Unauthenticated Arbitrary File Deletion en Ovabookpro (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin BookPro (versiones <= 1.1.0) que permite la eliminación arbitraria de archivos sin autenticación. Este fallo, clasificado como de alta severidad (CVE-2026-27400), puede comprometer seriamente la integridad de los datos en tu sitio web.

Contexto técnico

El fallo se origina en un bypass de autenticación que permite a un atacante eliminar archivos del servidor sin necesidad de estar autenticado. La superficie de ataque se centra en las funciones del plugin que gestionan archivos, lo que facilita la explotación mediante solicitudes maliciosas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de datos críticos, afectando la disponibilidad y la reputación del negocio. La capacidad de eliminar archivos arbitrariamente puede ser utilizada para eliminar archivos esenciales del sistema o datos sensibles, lo que representa un riesgo significativo para la seguridad.

Vector de explotación

Los atacantes suelen enviar solicitudes manipuladas a las funciones del plugin que manejan la eliminación de archivos, aprovechando la falta de verificación de autenticación.

Mitigación recomendada

Actualizar el plugin BookPro a la versión 1.1.0 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de archivo en el servidor para minimizar el impacto de posibles ataques. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF) y monitoreo de logs.

Señales de detección

Monitorear los logs del servidor para detectar intentos de eliminación de archivos no autorizados y verificar configuraciones del plugin que puedan indicar actividad sospechosa.

Alcance afectado

Las versiones del plugin BookPro anteriores a la 1.1.0 están afectadas. No se han confirmado otros escenarios de explotación en versiones posteriores.