GI-Media Library < 3.0 - Directory Traversal en GI Media Library (inclusion local de archivos (LFI))

Resumen ejecutivo

La vulnerabilidad de tipo 'Directory Traversal' en el plugin GI-Media Library, presente en versiones anteriores a la 3.0, permite a un atacante acceder a archivos del servidor de forma no autorizada. Esta falla tiene una severidad alta, con una puntuación CVSS de 7.5.

Contexto técnico

El fallo se produce debido a una validación insuficiente de las rutas de acceso a los archivos, lo que permite a un atacante manipular las solicitudes para acceder a directorios y archivos fuera del ámbito previsto por el plugin. La superficie de ataque se centra en las funcionalidades que gestionan la carga y visualización de archivos.

Impacto potencial

El impacto potencial incluye la exposición de información sensible del servidor, lo que puede llevar a la divulgación de datos confidenciales y comprometer la seguridad del sistema. Esto podría resultar en daños a la reputación de la empresa y posibles repercusiones legales.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las rutas de acceso en las solicitudes al plugin, lo que les permite acceder a archivos no autorizados en el servidor.

Mitigación recomendada

Actualizar el plugin GI-Media Library a la versión 3.0 o superior es crucial para mitigar esta vulnerabilidad. Además, se recomienda realizar una revisión de las configuraciones de seguridad del servidor y aplicar medidas de hardening adicionales.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a archivos del sistema y registros de errores que indiquen intentos de manipulación de rutas. Monitorizar logs de acceso puede ayudar a identificar actividad sospechosa.

Alcance afectado

Las versiones del plugin GI-Media Library anteriores a la 3.0 son las afectadas por esta vulnerabilidad. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión.