Landing Page Builder – Free Landing Page Templates <= 3.1.9.8 - Local File Inclusion via 'lpp_template_select' en Ultimate Landing Page (inclusion local de archivos (LFI)) - version 3.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin 'Landing Page Builder' para WordPress, que afecta a las versiones hasta la 3.1.9.8. Esta vulnerabilidad presenta un nivel de severidad alto, con un CVSS de 7.2.

Contexto técnico

La vulnerabilidad se origina en la función 'lpp_template_select', que permite a un atacante acceder a archivos del sistema local del servidor. Esto se debe a la falta de validación adecuada de las entradas del usuario, lo que permite la inclusión de rutas de archivos no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información sensible del servidor, comprometiendo la seguridad del sitio y potencialmente afectando la integridad de los datos. Esto podría resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando parámetros en las solicitudes HTTP para incluir archivos locales. Esto se puede realizar mediante scripts automatizados o manualmente, siempre que tengan acceso a la interfaz vulnerable.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.2 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de un firewall de aplicaciones web para filtrar solicitudes maliciosas.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a archivos del sistema, intentos de carga de archivos inusuales en los registros del servidor, y patrones de tráfico sospechosos que indiquen manipulación de parámetros.

Alcance afectado

Las versiones del plugin 'Landing Page Builder' hasta la 3.1.9.8 están afectadas por esta vulnerabilidad. Se recomienda a los usuarios de versiones anteriores que actualicen inmediatamente.