Extensive VC Addons for WPBakery page builder <= 1.9 - Unauthenticated Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inclusión local de archivos (LFI) en el plugin 'Extensive VC Addons for WPBakery Page Builder' en versiones anteriores a la 1.9.1. Esta falla permite a los atacantes no autenticados acceder a archivos del servidor, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas del usuario, permitiendo que un atacante envíe solicitudes manipuladas que accedan a archivos del sistema local. Esto afecta principalmente a los entornos donde el plugin está instalado y habilitado.

Impacto potencial

El impacto potencial incluye la exposición de información sensible, la posibilidad de ejecución de código malicioso y el compromiso total del servidor. Esto puede llevar a pérdidas financieras y de reputación para las organizaciones afectadas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que no requieren autenticación, lo que les permite acceder a archivos críticos del servidor.

Mitigación recomendada

Actualizar el plugin a la versión 1.9.1 o superior es esencial para mitigar el riesgo. Además, se recomienda implementar medidas de seguridad adicionales como la revisión de permisos de archivos y la aplicación de reglas de firewall específicas.

Señales de detección

Señales de riesgo incluyen accesos inusuales a archivos del sistema, errores de inclusión de archivos en los registros del servidor y patrones de tráfico sospechosos que intentan acceder a rutas de archivos locales.

Alcance afectado

Las versiones del plugin 'Extensive VC Addons for WPBakery Page Builder' anteriores a la 1.9.1 son las afectadas. Es crucial revisar las instalaciones para identificar las versiones en uso.