Qi Addons For Elementor <= 1.6.3 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Qi Addons For Elementor, que afecta a las versiones hasta la 1.6.3. Esta vulnerabilidad, catalogada con una severidad alta, puede permitir a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema del servidor.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes para incluir archivos. Un atacante con privilegios adecuados puede manipular las rutas de los archivos, lo que le permite acceder a información sensible en el servidor, comprometiendo así la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos internos que pueden contener credenciales, configuraciones o información sensible. Esto podría resultar en un compromiso completo del sitio web, afectando la reputación y la confianza del negocio.

Vector de explotación

La explotación típica de esta vulnerabilidad implica que un usuario autenticado, como un colaborador, envíe una solicitud manipulada que apunte a un archivo específico en el servidor, lo que le permite leer su contenido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Qi Addons For Elementor a la versión 1.6.4 o superior. Además, se deben revisar los permisos de usuario y aplicar principios de menor privilegio, limitando el acceso a funciones críticas del sistema.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a archivos del sistema, así como actividades sospechosas por parte de usuarios con roles de colaborador o superiores.

Alcance afectado

Las versiones del plugin Qi Addons For Elementor hasta la 1.6.3 son vulnerables. La versión 1.6.4 ya incluye la corrección de este fallo.