ElementsKit Elementor addons <= 3.1.0 - Authenticated (Contributor+) Local File Inclusion via Onepage Scroll Module

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ElementsKit Lite para WordPress, que permite la inclusión local de archivos (LFI) a través del módulo Onepage Scroll. Esta vulnerabilidad afecta a las versiones hasta la 3.1.0 y tiene un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en el módulo Onepage Scroll del plugin ElementsKit Lite, donde los usuarios autenticados con rol de colaborador o superior pueden manipular las solicitudes para incluir archivos locales en el servidor. Esto se debe a una validación insuficiente de las entradas del usuario, lo que abre la puerta a ataques de inclusión de archivos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante acceder a archivos sensibles del servidor, lo que podría comprometer la seguridad de la instalación de WordPress y los datos de los usuarios. Esto podría llevar a la pérdida de datos, exposición de información confidencial y posibles daños reputacionales para la organización.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la autenticación como usuarios con privilegios adecuados y manipulando las solicitudes para cargar archivos locales, lo que les permite ejecutar código o acceder a información sensible.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin ElementsKit Lite a la versión 3.1.1 o superior. Además, se sugiere implementar controles de acceso más estrictos y realizar auditorías de seguridad periódicas en los plugins instalados.

Señales de detección

Señales de explotación pueden incluir accesos no autorizados a archivos del servidor, cambios inesperados en la configuración del plugin o en los archivos del sistema, así como registros de actividad sospechosa en los logs de acceso.

Alcance afectado

Las versiones del plugin ElementsKit Lite hasta la 3.1.0 están afectadas. La vulnerabilidad fue publicada el 22 de abril de 2024 y ha sido corregida en la versión 3.1.1.