All In One Favicon <= 4.7 - Authenticated(Admin+) Directory Traversal (inclusion local de archivos (LFI)) - version 4.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Directory Traversal en el plugin All In One Favicon, que afecta a versiones hasta la 4.7. Esta vulnerabilidad permite a un usuario autenticado con privilegios de administrador acceder a archivos sensibles del servidor.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las rutas de acceso en el plugin, lo que permite a un atacante con acceso administrativo manipular las rutas y acceder a directorios no autorizados en el servidor.

Impacto potencial

El impacto potencial incluye la exposición de información sensible y la posibilidad de que un atacante obtenga acceso a archivos críticos del sistema, lo que podría comprometer la seguridad general del sitio web y sus datos.

Vector de explotación

Generalmente, se explota mediante la manipulación de parámetros de entrada en las solicitudes HTTP, permitiendo al atacante acceder a archivos fuera de la estructura de directorios permitida.

Mitigación recomendada

Actualizar el plugin All In One Favicon a la versión 4.8 o superior para mitigar la vulnerabilidad. Además, implementar controles adicionales de seguridad en el servidor para restringir el acceso a archivos sensibles.

Señales de detección

Señales de explotación pueden incluir registros de acceso inusuales que intentan acceder a archivos críticos o directorios fuera de la ruta esperada del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.8 del plugin All In One Favicon.