WPZOOM Addons for Elementor (Templates, Widgets) <= 1.1.37 - Unauthenticated Local File Inclusion en Wpzoom Elementor Addons (inclusion local de archivos (LFI)) - version 1.1.38

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WPZOOM Addons for Elementor, que permite la inclusión local de archivos sin autenticación. Esta vulnerabilidad afecta a las versiones hasta la 1.1.37 y tiene un CVSS de 9.8.

Contexto técnico

La vulnerabilidad se clasifica como inclusión local de archivos (LFI), lo que permite a un atacante acceder a archivos del sistema del servidor. La falta de autenticación en este proceso facilita que cualquier usuario malintencionado pueda ejecutar comandos o acceder a información sensible.

Impacto potencial

El impacto potencial es grave, ya que un atacante podría obtener acceso a datos confidenciales, ejecutar scripts maliciosos o comprometer la integridad del servidor. Esto podría resultar en pérdidas financieras y daños a la reputación de la empresa afectada.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la aplicación, lo que les permite incluir archivos locales del servidor sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.1.38 o superior. Además, se debe realizar un análisis de seguridad del servidor y aplicar las mejores prácticas de hardening.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema, registros de errores que indiquen intentos de inclusión de archivos y tráfico sospechoso en las solicitudes HTTP.

Alcance afectado

Las versiones del plugin WPZOOM Addons for Elementor hasta la 1.1.37 están afectadas. Es crucial verificar las instalaciones que utilizan este plugin para asegurar su actualización.