Cab fare calculator <= 1.0.3 - Unauthenticated Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales no autenticada en el plugin Cab Fare Calculator, afectando a versiones hasta la 1.0.3. Esta vulnerabilidad puede permitir a un atacante acceder a archivos del sistema del servidor.

Contexto técnico

La vulnerabilidad se clasifica como Local File Inclusion (LFI), lo que permite a un atacante incluir archivos del sistema local en el contexto de la aplicación web. Esto ocurre debido a una validación insuficiente de las entradas del usuario, lo que expone la superficie de ataque del plugin.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a información sensible almacenada en el servidor, lo que puede comprometer la seguridad del sitio web y la integridad de los datos. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando parámetros en las solicitudes HTTP para incluir archivos locales, lo que puede llevar a la exposición de archivos críticos del sistema.

Mitigación recomendada

Actualizar el plugin a la versión 1.0.4 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar la configuración de permisos de archivos y aplicar medidas de seguridad adicionales como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Señales de riesgo incluyen intentos fallidos de acceso a archivos del sistema en los registros del servidor, así como patrones inusuales en las solicitudes HTTP que intentan acceder a rutas de archivos locales.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.4 del plugin Cab Fare Calculator, publicado antes del 20 de abril de 2022.