WP Custom Pages <= 0.5.0.1 - Path Traversal (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Path Traversal en el plugin WP Custom Pages, afectando a la versión 0.5.0.1 y anteriores. Esta vulnerabilidad permite la lectura no autorizada de archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

El fallo se origina en una inadecuada validación de las rutas de acceso, lo que permite a un atacante manipular las solicitudes para acceder a archivos fuera del directorio previsto. Esto se conoce como Local File Inclusion (LFI) y puede ser explotado para obtener información sensible del servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la divulgación de información crítica, comprometiendo la integridad y confidencialidad de los datos del sitio web. Esto puede llevar a un daño reputacional y a posibles sanciones legales si se exponen datos sensibles de usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen rutas de archivo maliciosas, permitiendo la inclusión de archivos locales no autorizados.

Mitigación recomendada

Actualizar el plugin WP Custom Pages a la versión 0.5.0.1 o superior. Además, se recomienda revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening como la restricción de acceso a archivos sensibles.

Señales de detección

Señales de riesgo incluyen accesos inusuales a archivos del sistema, registros de errores que indican intentos de inclusión de archivos, y patrones de tráfico sospechosos en las solicitudes HTTP.

Alcance afectado

Las versiones del plugin WP Custom Pages hasta la 0.5.0.1 están afectadas. Se aconseja a los administradores de sitios que utilicen versiones anteriores que verifiquen su instalación.