Easy Digital Downloads <= 3.6.9 - Authenticated (Admin) Arbitrary File Deletion (vulnerabilidad) - version 3.6.9.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Easy Digital Downloads, hasta la versión 3.6.9, que permite la eliminación arbitraria de archivos por usuarios autenticados con privilegios de administrador. Esta falla puede comprometer la integridad del sistema y la disponibilidad de los datos operativos.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Easy Digital Downloads, específicamente en la gestión de archivos. Los atacantes autenticados con privilegios de administrador pueden aprovechar esta falla para eliminar archivos arbitrarios del servidor, afectando la estructura del sitio web.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la eliminación de archivos críticos puede resultar en la pérdida de datos importantes y afectar la funcionalidad del sitio. Además, esto puede llevar a una interrupción del servicio y a la pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación se realiza mediante la autenticación como administrador y la ejecución de comandos específicos que permiten la eliminación de archivos sin restricciones adecuadas.

Mitigación recomendada

Actualizar el plugin Easy Digital Downloads a la versión 3.6.9.1 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados o sospechosos. Implementar controles de acceso más estrictos para los usuarios con privilegios de administrador.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales en la eliminación de archivos y verificar la configuración del plugin para asegurar que no se han realizado cambios no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones de Easy Digital Downloads hasta la 3.6.9. La versión 3.6.9.1 y posteriores no están afectadas.