Qi Addons For Elementor <= 1.7.2 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Qi Addons For Elementor, que afecta a las versiones hasta 1.7.2. Esta vulnerabilidad, clasificada como de alta gravedad, puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes autenticadas, permitiendo a usuarios con rol de colaborador o superior acceder a archivos del sistema de archivos del servidor. Esto se debe a una validación insuficiente de las entradas del usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información sensible del servidor, lo que podría resultar en la exposición de datos confidenciales o en el compromiso total del sitio web. Esto puede tener repercusiones graves en la reputación y la operación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de la interfaz del plugin, lo que les permite incluir archivos del servidor en sus respuestas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Qi Addons For Elementor a la versión 1.7.3 o superior. Además, se debe revisar la configuración de permisos de usuario y aplicar prácticas de seguridad adicionales, como la validación estricta de entradas.

Señales de detección

Se pueden detectar intentos de explotación a través de registros de acceso que muestren patrones inusuales de solicitudes a archivos del sistema o errores relacionados con la inclusión de archivos locales.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Qi Addons For Elementor hasta la 1.7.2. Las instalaciones que utilicen estas versiones están en riesgo.