Consulting Elementor Widgets <= 1.3.0 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Consulting Elementor Widgets, que afecta a versiones hasta la 1.3.0. Esta vulnerabilidad, con una severidad alta, permite a usuarios autenticados con rol de contribuyente o superior acceder a archivos del sistema.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las rutas de los archivos, permitiendo que un atacante autenticado manipule las solicitudes para incluir archivos del servidor. Esto se traduce en una superficie de ataque que puede ser explotada por usuarios con permisos limitados, facilitando el acceso a información sensible.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a los atacantes acceder a datos sensibles del servidor. Esto podría derivar en la pérdida de datos, alteración de la integridad del sitio y potenciales brechas de seguridad que afecten la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la manipulación de parámetros en las solicitudes HTTP para incluir archivos locales, aprovechando su acceso como usuarios autenticados con permisos de contribuyente o superiores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.3.1 o superior. Además, se debe revisar la configuración de permisos de los usuarios y aplicar buenas prácticas de seguridad en la gestión de archivos y rutas en el servidor.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a archivos del sistema, así como alertas de actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Consulting Elementor Widgets en versiones hasta la 1.3.0, publicada antes del 20 de junio de 2024.