The Plus Addons for Elementor – Elementor Addons, Page Templates, Widgets, Mega Menu, WooCommerce <= 5.5.6 - Authenticated (Contributor+) Local File Inclusion en Theplus Elementor Addon - version 5.6.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin 'The Plus Addons for Elementor' que afecta a versiones hasta la 5.5.6. Esta vulnerabilidad permite la ejecución remota de código en entornos afectados, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las peticiones de archivos, permitiendo a un atacante autenticado (con rol de colaborador o superior) incluir archivos locales del servidor. Esto puede llevar a la ejecución de código malicioso, comprometiendo la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la pérdida de datos, alteración de la funcionalidad del sitio o incluso el control total del mismo. Esto puede afectar la reputación de la empresa y su relación con los clientes.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la manipulación de peticiones HTTP que incluyen rutas de archivos locales, lo que permite a un atacante acceder y ejecutar scripts no autorizados en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 5.6.0 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la limitación de los roles de usuario y la implementación de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema, cambios inesperados en la funcionalidad del sitio o alertas de seguridad generadas por plugins de seguridad que detecten intentos de inclusión de archivos.

Alcance afectado

Las versiones del plugin 'The Plus Addons for Elementor' hasta la 5.5.6 son las afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.