WordPress WooCommerce csv import export Plugin <= 2.0.6 - Vulnerabilidad de Eliminación Arbitraria de Archivos

La vulnerabilidad de Path Traversal en WooCommerce csv import export permite a un atacante, mediante la manipulación de la ruta de archivo, acceder a archivos que normalmente no estarían disponibles. Esto podría incluir archivos de configuración sensibles, código fuente, o incluso archivos del sistema operativo. Un atacante podría leer información confidencial, modificar archivos para ejecutar código malicioso, o incluso obtener control sobre el servidor. La severidad de este impacto se agrava si el servidor web está configurado para servir archivos directamente, lo que facilitaría el acceso a los archivos comprometidos. La explotación exitosa de esta vulnerabilidad podría resultar en una brecha de datos significativa y la pérdida de control del servidor.

WordPress websites using the WooCommerce CSV Import Export plugin, particularly those running older versions (0.0.0–2.0.6), are at risk. Shared hosting environments where multiple WordPress installations share the same server are also at increased risk, as a compromise of one site could potentially expose files on other sites.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/extendons-eo-wooimport-export/*

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/extendons-eo-wooimport-export/../../../../etc/passwd' # Check for file access

1. 2025-08-28Disclosure

   disclosure

1. Reservado2025-07-16
2. Publicada2025-08-28
3. Modificada2026-04-28
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar el plugin WooCommerce csv import export a la versión 2.0.7 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a archivos sensibles a través de permisos de archivo y directorios. Además, se puede considerar la implementación de un Web Application Firewall (WAF) con reglas que bloqueen intentos de Path Traversal. Monitorear los logs del servidor en busca de patrones sospechosos de manipulación de rutas de archivo también puede ayudar a detectar y prevenir ataques.