Slider Revolution < 3.0.96 & Showbiz Pro < 1.7.1 - Missing Authorization to Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en los plugins Slider Revolution (versiones anteriores a 3.0.96) y Showbiz Pro (versiones anteriores a 1.7.1), que permite la carga arbitraria de archivos sin la debida autorización. Esta vulnerabilidad tiene un CVSS de 9.8, lo que indica su alta severidad.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados, lo que permite a un atacante no autenticado cargar archivos arbitrarios en el servidor. Esto puede comprometer la integridad del sitio, ya que los archivos maliciosos pueden ser ejecutados en el entorno del servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso, comprometiendo la seguridad del sitio web y potencialmente afectando la reputación de la empresa. Además, puede dar lugar a la pérdida de datos sensibles y a la interrupción de servicios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que desencadenen la carga de archivos no autorizados. Esto se puede realizar a través de formularios de carga de archivos que no validan correctamente las autorizaciones.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar inmediatamente a la versión 1.7.1 de Showbiz Pro y a la versión 3.0.96 de Slider Revolution. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de archivos en el servidor y la restricción de permisos de carga.

Señales de detección

Señales de posible explotación incluyen la presencia de archivos inusuales en el servidor, registros de actividades sospechosas en los logs del servidor y patrones de tráfico que indiquen intentos de carga de archivos no autorizados.

Alcance afectado

Las versiones de Slider Revolution anteriores a 3.0.96 y de Showbiz Pro anteriores a 1.7.1 son las afectadas. Se recomienda a los administradores de sitios que utilicen estos plugins que verifiquen sus versiones y apliquen las actualizaciones necesarias.