PowerPack Lite for Beaver Builder <= 1.3.0.3 - Authenticated (Editor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin PowerPack Lite para Beaver Builder, que afecta a las versiones hasta la 1.3.0.3. Esta vulnerabilidad, catalogada como de alta severidad, puede ser explotada por usuarios autenticados con privilegios de Editor o superiores.

Contexto técnico

La vulnerabilidad permite a un atacante autenticado acceder a archivos del sistema local a través de solicitudes manipuladas. Esto se debe a una falta de validación adecuada en las rutas de archivos, lo que expone el sistema a riesgos de divulgación de información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos críticos del servidor, lo que podría llevar a la exposición de datos sensibles y comprometer la seguridad general del sitio web. Esto podría resultar en daños a la reputación y posibles pérdidas económicas.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de parámetros en las solicitudes del plugin, permitiendo la inclusión de archivos locales no autorizados. Los atacantes pueden aprovechar esta vulnerabilidad para obtener información sensible del servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin PowerPack Lite for Beaver Builder a la versión 1.3.0.4 o superior. Además, se debe revisar la configuración de permisos de los usuarios y aplicar prácticas de seguridad recomendadas, como limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en los registros de acceso, como solicitudes que intentan acceder a archivos del sistema, así como errores relacionados con la carga de archivos en el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3.0.4, lo que incluye la 1.3.0.3 y anteriores. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión.