Ad Inserter <= 2.4.19 - Authenticated Path Traversal (inclusion local de archivos (LFI)) - version 2.4.20

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Path Traversal' en el plugin Ad Inserter, afectando a versiones hasta la 2.4.19. Esta vulnerabilidad permite a un atacante autenticado acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad se basa en una falta de validación adecuada de las rutas proporcionadas por el usuario, lo que permite la manipulación de rutas y el acceso a archivos sensibles del servidor. Este tipo de fallo se clasifica como Local File Inclusion (LFI) y puede ser explotado por usuarios con credenciales válidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que un atacante podría acceder a información confidencial almacenada en el servidor, lo que podría comprometer la seguridad de la instalación y la integridad de los datos del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo al atacante acceder a archivos arbitrarios del sistema, siempre y cuando tenga acceso autenticado al plugin.

Mitigación recomendada

Se recomienda actualizar el plugin Ad Inserter a la versión 2.4.20 o superior, donde se ha solucionado esta vulnerabilidad. Además, se sugiere realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales en el servidor.

Señales de detección

Señales de riesgo incluyen intentos de acceso a archivos sensibles mediante rutas inusuales en las solicitudes, así como logs de errores que indiquen fallos de acceso a archivos que no deberían ser accesibles.

Alcance afectado

Las versiones del plugin Ad Inserter hasta la 2.4.19 son las afectadas. Cualquier instalación que utilice estas versiones está en riesgo.