Los investigadores de ciberseguridad han revelado una falla de seguridad crítica sin parche que afecta al complemento TI WooCommerce Wishlist para WordPress y que podría ser explotada por atacantes no autenticados para cargar archivos arbitrarios.

TI WooCommerce Wishlist, que tiene más de 100,000 instalaciones activas , es una herramienta que permite a los clientes de sitios de comercio electrónico guardar sus productos favoritos para más tarde y compartir las listas en plataformas de redes sociales.

"El complemento es vulnerable a una vulnerabilidad de carga de archivos arbitraria que permite a los atacantes cargar archivos maliciosos al servidor sin autenticación", dijo el investigador de Patchstack, John Castro .

Identificada como CVE-2025-47577, la vulnerabilidad tiene una puntuación CVSS de 10.0. Afecta a todas las versiones del complemento que se indican a continuación, incluida la 2.9.2, publicada el 29 de noviembre de 2024. Actualmente no hay ningún parche disponible.

La empresa de seguridad del sitio web dijo que el problema radica en una función llamada "tinvwl_upload_file_wc_fields_factory", que, a su vez, utiliza otra función nativa de WordPress " wp_handle_upload " para realizar la validación, pero establece los parámetros de anulación "test_form" y "test_type" en "false".

La anulación "test_type" se utiliza para verificar si el tipo MIME (Extensión de correo de Internet multipropósito) del archivo es el esperado, mientras que "test_form" se utiliza para verificar si el parámetro $_POST['action'] es el esperado.

Al establecer "test_type" como falso, se puede omitir de manera efectiva la validación del tipo de archivo, permitiendo así cargar cualquier tipo de archivo.

Dicho esto, se puede acceder a la función vulnerable a través de tinvwl_meta_wc_fields_factory o tinvwl_cart_meta_wc_fields_factory, que solo están disponibles cuando el complemento WC Fields Factory está activo.

Esto también significa que la explotación exitosa solo es posible si el complemento WC Fields Factory está instalado y activado en el sitio de WordPress y la integración está habilitada en el complemento TI WooCommerce Wishlist.

En un escenario de ataque hipotético, un actor de amenazas podría cargar un archivo PHP malicioso y lograr la ejecución remota de código (RCE) accediendo directamente al archivo cargado.

Se recomienda a los desarrolladores de plugins que eliminen o eviten la configuración 'test_type' => false al usar wp_handle_upload(). Si no hay una solución, se insta a los usuarios del plugin a desactivarlo y eliminarlo de sus sitios.

Fuente: TheHackerNews.