El plugin de servidor de activos de Vendure tiene una vulnerabilidad de lectura de archivos locales con AssetServerPlugin & LocalAssetStorageStrategy

Un atacante puede explotar esta vulnerabilidad para leer archivos sensibles almacenados en el servidor, como archivos de configuración, variables de entorno y otros datos críticos. Esto podría revelar credenciales de bases de datos, claves API, contraseñas y otra información confidencial. La explotación exitosa podría resultar en la completa toma de control del servidor o en la exfiltración de datos sensibles. El ataque se realiza mediante la manipulación de la ruta de acceso en las solicitudes HTTP, permitiendo al atacante eludir las restricciones de seguridad y acceder a directorios fuera del directorio raíz previsto. La demostración de concepto (PoC) proporcionada por el investigador Rajesh Sharma, utilizando curl --path-as-is, ilustra fácilmente la vulnerabilidad.

Vendure e-commerce platforms utilizing the Asset Server Plugin are at risk. Specifically, deployments using older versions of the plugin (prior to 2.3.3) and those with less restrictive file system permissions are particularly vulnerable. Shared hosting environments where multiple applications share the same server resources are also at increased risk, as a compromise of one application could potentially expose data from others.

• nodejs / server:

find /var/www/your-vendure-app -name 'package.json' -exec grep -H 'http://localhost:3000/assets/../' {} + # Look for references to the vulnerable path

• generic web:

grep -i 'path=../' /var/log/nginx/access.log # Check access logs for suspicious paths

• generic web:

grep -i 'GET /assets/../' /var/log/nginx/error.log # Check error logs for path traversal attempts

1. 2024-10-15Disclosure

   disclosure

2. 2024-10-15PoC

   poc

3. 2024-10-15Patch

   patch

1. Reservado2024-10-09
2. Publicada2024-10-15
3. EPSS actualizado2026-04-02

La mitigación principal es actualizar el plugin @vendure/asset-server-plugin a la versión 2.3.3 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso al directorio de activos a través de reglas de firewall o WAF (Web Application Firewall). Además, se debe revisar y endurecer la configuración del servidor para minimizar la superficie de ataque. Monitorear los registros del servidor en busca de solicitudes sospechosas que intenten acceder a archivos fuera del directorio raíz también puede ayudar a detectar y prevenir ataques. Después de la actualización, confirme la corrección revisando los registros de acceso y ejecutando pruebas de penetración para verificar que la vulnerabilidad ha sido resuelta.