Image Optimizer <= 1.7.4 - Authenticated (Author+) Arbitrary File Deletion via Post Meta Field Injection en Image Optimization (vulnerabilidad) - version 1.7.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Image Optimizer, versiones hasta 1.7.4, que permite la eliminación arbitraria de archivos a través de inyecciones en campos de metadatos. Esta falla puede comprometer la integridad de los sistemas afectados y provocar pérdidas operativas significativas.

Contexto técnico

La vulnerabilidad se encuentra en la forma en que el plugin gestiona los campos de metadatos en las publicaciones, permitiendo a un usuario autenticado ejecutar comandos que eliminan archivos arbitrarios del servidor. Esto se traduce en un vector de ataque que podría ser explotado por usuarios con permisos de autor o superiores.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite la eliminación de archivos críticos del servidor, lo que puede resultar en la pérdida de datos y afectar la disponibilidad del sitio. Esto puede traducirse en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

La explotación se realiza mediante la manipulación de los campos de metadatos en el proceso de publicación, lo que permite a un atacante autenticado enviar solicitudes maliciosas para eliminar archivos del sistema.

Mitigación recomendada

Actualizar el plugin Image Optimizer a la versión 1.7.5 o superior para cerrar la vulnerabilidad. Revisar los permisos de los usuarios en el sistema y limitar el acceso a funciones críticas. Implementar copias de seguridad regulares para mitigar la pérdida de datos en caso de explotación.

Señales de detección

Señales observables incluyen registros de eliminación de archivos inusuales en el servidor y cambios inesperados en los metadatos de las publicaciones.

Alcance afectado

Las versiones del plugin Image Optimizer hasta la 1.7.4 están afectadas. No se han confirmado casos en versiones posteriores a la 1.7.5.