Vulnerabilidad de subida de archivos
Definición
Una vulnerabilidad de subida de archivos deja a un atacante colocar un archivo peligroso en el servidor, a menudo hacia un webshell.
También se llama: file upload vulnerability, subida de archivos sin restricción, subida arbitraria de archivos, vulnerabilidad de upload
Última actualización
Por qué importa para WordPress
Los sitios WordPress suben medios todo el día. Cuando un formulario o plugin no valida tipo, tamaño o ruta, los atacantes suben .php (o dobles extensiones) y lo abren en el navegador. Es una de las formas más comunes de aterrizar webshells.
Cómo se ve en la práctica
- Archivos PHP bajo
wp-content/uploads - Texto de CVE sobre comprobaciones de tipo de archivo faltantes en un handler AJAX de subida
- Formularios de contacto o builders que aceptan “cualquier archivo” en una carpeta accesible por web
- Uploads ejecutados aunque la UI dijera “solo imágenes”
Qué hacer
- Mantén actualizados plugins de formularios y builders; los bugs de upload son frecuentes.
- Bloquea la ejecución de PHP en uploads en el servidor cuando el host lo permita.
- Restringe quién puede subir; no todo rol necesita
upload_files. - Tras una mala subida, elimina el archivo, cierra el agujero, busca hermanos y rota credenciales.
Ir más allá
¿Quieres el recorrido completo?
Esta página se queda corta a propósito. La guía (en inglés) cubre pasos, ejemplos y qué comprobar en un sitio WordPress en vivo.
Abrir guía completa (EN)Términos relacionados
Ideas cercanas en el diccionario
- Webshell Un webshell es un script pequeño subido al servidor que deja a un atacante ejecutar comandos desde el navegador.
- Malware El malware en WordPress es código no deseado que roba datos, envía spam, redirige visitantes o mantiene abierta una puerta trasera.
- Ejecución remota de código La ejecución remota de código es una vulnerabilidad que deja a un atacante correr código controlado por él en el servidor.
- Puerta trasera Una puerta trasera es acceso oculto que deja un atacante para volver sin la vulnerabilidad original.
