MultiVendorX – The Ultimate WooCommerce Multivendor Marketplace Solution <= 4.2.14 - Inclusión Local de Archivos Limitada No Autenticada

Un atacante que explote esta vulnerabilidad podría incluir archivos PHP arbitrarios en el servidor, lo que le permitiría ejecutar código malicioso con los permisos del usuario web. Esto podría resultar en la toma de control completa del sitio web, el robo de datos sensibles (como información de clientes o datos de productos), la modificación de contenido o la instalación de puertas traseras. La capacidad de ejecutar código PHP en el servidor representa un riesgo significativo, ya que el atacante podría escalar privilegios y comprometer la integridad y confidencialidad de los datos. La inclusión de archivos PHP podría permitir la ejecución de código malicioso directamente en el servidor web, lo que podría comprometer la infraestructura subyacente.

This vulnerability primarily affects websites using the MultiVendorX plugin for WooCommerce. Specifically, sites running older versions (0.0.0–4.2.14) are at risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit the vulnerability to compromise other sites on the same server.

• wordpress / composer / npm:

grep -r 'tabname' /var/www/html/wp-content/plugins/multivendorx/

• wordpress / composer / npm:

wp plugin list | grep multivendorx

• wordpress / composer / npm:

curl -I http://your-wordpress-site.com/wp-content/plugins/multivendorx/includes/tabname.php | head -n 1

• generic web: Check WordPress access logs for requests containing tabname=../ or similar path traversal attempts.

1. 2025-01-31Disclosure

   disclosure

1. Reservado2025-01-15
2. Publicada2025-01-31
3. Modificada2026-04-08
4. EPSS actualizado2026-04-02

La solución principal es actualizar el plugin MultiVendorX a la versión 4.2.15 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación temporales. Restrinja el acceso al parámetro tabname para evitar la inclusión de archivos no autorizados. Implemente reglas en el servidor web (WAF o proxy) para bloquear solicitudes que intenten incluir archivos PHP desde ubicaciones no permitidas. Revise los archivos de registro del servidor web en busca de patrones sospechosos relacionados con la inclusión de archivos. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el parámetro tabname ya no permite la inclusión de archivos PHP arbitrarios.

Instalaciones activas

3KConocido

Valoración del plugin