El 11 de marzo de 2025, se identificó una vulnerabilidad crítica en el popular plugin de WordPress "HUSKY – WooCommerce Products Filter Professional" (anteriormente conocido como WOOF), que afecta a más de 100,000 tiendas en línea. Esta vulnerabilidad, catalogada como CVE-2025-1661 con una puntuación CVSS de 9.8, permite a atacantes no autenticados ejecutar archivos arbitrarios en servidores afectados, lo que podría resultar en brechas de datos, desfiguración de sitios y control total del sistema.
Detalles de la Vulnerabilidad
La falla reside en una vulnerabilidad de Inclusión Local de Archivos (LFI) presente en versiones del plugin hasta la 1.3.6.5 inclusive. Esta vulnerabilidad se encuentra en el parámetro 'template' de la acción AJAX 'woof_text_search', lo que permite a actores malintencionados inyectar y ejecutar cualquier código PHP presente en el servidor.
Impacto Potencial
La explotación de esta vulnerabilidad puede tener consecuencias graves, incluyendo:
-
Robo de datos sensibles: Información de clientes como nombres, direcciones, datos de pago e historiales de pedidos podrían ser comprometidos.
-
Inyección de código malicioso: Esto podría llevar a la desfiguración del sitio, redirección a sitios de phishing o instalación de puertas traseras para acceso persistente.
-
Control completo del servidor: En casos donde los atacantes puedan cargar e incluir tipos de archivos "seguros", como imágenes con código malicioso incrustado, podrían obtener control total del servidor.
Medidas de Mitigación
Se recomienda encarecidamente a los propietarios de tiendas en línea que utilicen este plugin que actualicen inmediatamente a la versión 1.3.6.6, la cual incluye una solución para esta vulnerabilidad.
Conclusión
La detección de la vulnerabilidad CVE-2025-1661 destaca la importancia de mantener actualizados los plugins y sistemas de gestión de contenido. La rápida acción para parchear y actualizar componentes vulnerables es esencial para proteger la integridad y seguridad de las plataformas de comercio electrónico.
Fuentes:
A continuación se presentan las fuentes utilizadas en el artículo, junto con sus respectivos enlaces:
-
Base de Datos Nacional de Vulnerabilidades (NVD): Proporciona detalles técnicos sobre la vulnerabilidad CVE-2025-1661.
-
Security Online: Informa sobre la vulnerabilidad crítica que afecta a más de 100,000 sitios de WooCommerce.
-
SecAlerts: Ofrece información sobre la inclusión de archivos locales no autenticados relacionada con CVE-2025-1661.
-
Wordfence: Base de datos de vulnerabilidades de WordPress que incluye información sobre CVE-2025-1661.
-
GitHub Advisory Database: Contiene detalles sobre la vulnerabilidad CVE-2025-1661 en el plugin HUSKY.
Estas fuentes proporcionan información detallada y técnica sobre la vulnerabilidad CVE-2025-1661 y sus implicaciones para los sitios que utilizan el plugin HUSKY – WooCommerce Products Filter Professional.
