Really Simple CSV Importer <= 1.3 - Authenticated (Admin+) Arbitrary File Upload (subida arbitraria de archivos) - version 1.3.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Really Simple CSV Importer que permite la carga arbitraria de archivos por usuarios autenticados con privilegios de administrador. Esta brecha puede comprometer la seguridad del sitio, exponiendo datos sensibles y permitiendo la ejecución de código malicioso.

Contexto técnico

El fallo se origina en la funcionalidad de carga de archivos del plugin, donde no se validan adecuadamente los tipos de archivos permitidos. Esto permite que un atacante autenticado con privilegios de administrador suba archivos potencialmente dañinos al servidor, lo que representa una grave amenaza para la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que permite a atacantes con acceso administrativo ejecutar código malicioso en el servidor, lo que puede llevar a la pérdida de datos, alteración del sitio o incluso a la toma de control total del mismo. Esto puede resultar en daños económicos significativos y afectar la confianza de los usuarios.

Vector de explotación

El vector de explotación implica que un usuario autenticado con privilegios de administrador utiliza la funcionalidad de carga del plugin para subir archivos maliciosos sin la debida validación.

Mitigación recomendada

Actualizar el plugin Really Simple CSV Importer a la versión 1.3.1 o superior. Revisar los permisos de usuario y limitar el acceso a la funcionalidad de carga de archivos solo a administradores de confianza. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para filtrar cargas potencialmente peligrosas.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a la funcionalidad de carga de archivos y la presencia de archivos no autorizados en el servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Really Simple CSV Importer hasta la 1.3. Esta vulnerabilidad ha sido corregida en la versión 1.3.1, publicada el 22 de julio de 2026.