Custom Content Shortcode <= 4.0.2 - Authenticated (Contributor+) Local File Inclusion via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Custom Content Shortcode, afectando a versiones hasta la 4.0.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los shortcodes, permitiendo que un atacante autenticado especifique rutas de archivos locales que pueden ser incluidos y ejecutados. Esto expone el servidor a riesgos de acceso no autorizado a información sensible.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de que un atacante obtenga acceso no autorizado a archivos del sistema, lo que podría comprometer la seguridad general de la instalación de WordPress y afectar la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un usuario autenticado, con permisos de colaborador o superiores, utilice un shortcode malicioso que apunte a un archivo del sistema, lo que permite la inclusión y visualización de dicho archivo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar inmediatamente el plugin Custom Content Shortcode a la versión 4.0.2 o superior. Además, se sugiere revisar los permisos de usuario y limitar el acceso a roles que no sean necesarios.

Señales de detección

Las señales que pueden indicar un intento de explotación incluyen accesos no autorizados a archivos del sistema y registros de actividad inusuales por parte de usuarios autenticados.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Custom Content Shortcode anteriores a la 4.0.2, lo que incluye instalaciones que aún no han sido actualizadas.