TinyPNG <= 3.6.13 - Authenticated (Author+) Arbitrary File Deletion via 'convert.path' in 'tiny_compress_images' Post Meta en Tiny Compress Images (vulnerabilidad) - version 3.6.14

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin TinyPNG, que permite la eliminación arbitraria de archivos a través de la función 'convert.path'. Este fallo afecta a las versiones anteriores a la 3.6.14, lo que puede comprometer la integridad de los archivos en el servidor.

Contexto técnico

El fallo se origina en la gestión de metadatos de publicaciones en el plugin TinyPNG, donde usuarios autenticados con rol de autor pueden manipular la ruta de conversión para eliminar archivos del servidor. Esto representa un vector de ataque significativo si no se gestiona adecuadamente.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de datos críticos, afectando la operativa del negocio y la confianza de los usuarios. La severidad del fallo, con un CVSS de 8.1, indica un alto riesgo en entornos donde se utilice este plugin sin la debida actualización.

Vector de explotación

La vulnerabilidad se puede explotar mediante la manipulación de las solicitudes de metadatos de publicaciones, permitiendo a un atacante autenticado eliminar archivos arbitrarios en el servidor.

Mitigación recomendada

Actualizar el plugin TinyPNG a la versión 3.6.14 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario en el sitio para limitar el acceso a funciones críticas. Implementar copias de seguridad regulares para mitigar la pérdida de datos en caso de explotación.

Señales de detección

Monitorizar los logs de acceso en busca de patrones inusuales en las solicitudes de eliminación de archivos, así como revisar cambios inesperados en los metadatos de publicaciones.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.6.14. No se han confirmado casos de explotación en versiones posteriores.