Elements For Elementor <= 2.1 - Authenticated (Contributor+) Local File Inclusion via Multiple Widget Attributes en ND Elements (inclusion local de archivos (LFI)) - version 2.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin 'Elements For Elementor' en versiones hasta la 2.1. Esta falla permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la forma en que ciertos atributos de widgets son procesados, permitiendo a un atacante manipular las rutas de los archivos y acceder a información sensible en el servidor.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que puede permitir a un atacante acceder a archivos críticos del sistema, comprometiendo la seguridad de la instalación de WordPress y exponiendo datos sensibles.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP, lo que permite a un atacante autenticado incluir archivos locales en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Elements For Elementor' a la versión 2.2 o superior. Además, se debe revisar la configuración de permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de plugins.

Señales de detección

Señales de riesgo incluyen intentos de acceso a archivos inusuales en los registros del servidor y actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Elements For Elementor' hasta la 2.1. La versión 2.2 y posteriores ya no son vulnerables.