Contador de visitantes en vivo para WooCommerce <= 1.3.6 - Eliminación arbitraria de archivos no autenticada en wcvisitor_get_block

Un atacante puede explotar esta vulnerabilidad para eliminar archivos arbitrarios en el servidor WordPress. La falta de validación adecuada de la ruta del archivo en la función wcvisitorgetblock permite a un atacante especificar una ruta que conduce a la eliminación de archivos críticos del sistema o de la aplicación. Esto puede resultar en la pérdida de datos sensibles, la interrupción del servicio web o incluso el compromiso total del servidor. La capacidad de borrar archivos arbitrarios amplía significativamente el potencial de daño, ya que un atacante podría eliminar archivos de configuración, archivos de base de datos o incluso archivos del sistema operativo.

Websites using the Counter live visitors for WooCommerce plugin, particularly those running older, unpatched versions (1.0.0–1.3.6), are at risk. Shared hosting environments are particularly vulnerable, as attackers could potentially exploit this vulnerability to impact multiple websites hosted on the same server.

• wordpress / composer / npm:

grep -r "wcvisitor_get_block" /var/www/html/wp-content/plugins/counter-live-visitors-for-woocommerce/

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/counter-live-visitors-for-woocommerce/wcvisitor_get_block?file=../../../../etc/passwd' # Attempt to access sensitive files

1. 2025-07-16Disclosure

   disclosure

1. Reservado2025-07-08
2. Publicada2025-07-16
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el plugin Counter Live Visitors for WooCommerce a una versión corregida que solucione la vulnerabilidad de acceso arbitrario de archivos. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Restrinja los permisos de escritura en el directorio donde se encuentra el plugin. Implemente reglas en el firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder o manipular archivos fuera del directorio del plugin. Monitoree los registros del servidor en busca de actividad sospechosa, como intentos de acceso a archivos no autorizados. Después de la actualización, verifique que la función wcvisitorgetblock haya sido modificada para incluir una validación de ruta robusta.

Instalaciones activas

6KNicho

Valoración del plugin