The Plus Addons for Elementor <= 5.4.1 - Authenticated (Contributor+) Local File Inclusion via Clients Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin The Plus Addons for Elementor, que afecta a las versiones hasta la 5.4.1. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema.

Contexto técnico

La vulnerabilidad se origina en el widget de clientes del plugin, donde una incorrecta validación de entradas permite la inclusión de archivos locales. Esto ocurre cuando se procesan datos sin la debida sanitización, exponiendo así el sistema a posibles accesos no autorizados a archivos sensibles.

Impacto potencial

El impacto de esta vulnerabilidad es medio, ya que permite a un atacante autenticado acceder a archivos del servidor, lo que puede comprometer la seguridad de la instalación de WordPress y la confidencialidad de la información almacenada. Esto podría llevar a la exposición de datos sensibles o a la manipulación del sistema.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas a través del widget de clientes, lo que les permite incluir archivos locales en el servidor y acceder a información crítica.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin The Plus Addons for Elementor a la versión 5.4.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar buenas prácticas de seguridad, como la limitación de los roles de usuario y la sanitización adecuada de las entradas.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales en el widget de clientes, intentos de acceder a archivos del sistema y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin The Plus Addons for Elementor hasta la 5.4.1. Las instalaciones que no han sido actualizadas a la versión 5.4.2 o superior están en riesgo.