Advanced Classifieds & Directory Pro <= 3.1.3 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Advanced Classifieds & Directory Pro, que permite la inclusión local de archivos (LFI) para usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad, registrada como CVE-2024-37501, afecta a las versiones hasta la 3.1.3 y presenta un alto nivel de severidad con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad de inclusión local de archivos (LFI) se produce cuando el plugin no valida adecuadamente las rutas de los archivos solicitados, permitiendo que un atacante autenticado acceda a archivos del sistema que deberían estar restringidos. Esto se traduce en una superficie de ataque que puede ser explotada por usuarios con privilegios de colaborador o superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a un atacante acceder a información sensible del servidor, lo que podría resultar en la exposición de datos críticos o la ejecución de código malicioso. Esto podría tener repercusiones significativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de la interfaz del plugin, lo que les permite incluir archivos del sistema y potencialmente ejecutar código no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.2.1 o superior. Además, es aconsejable revisar y reforzar las configuraciones de permisos de usuario y realizar auditorías de seguridad periódicas en el sitio.

Señales de detección

Señales de riesgo pueden incluir intentos de acceso a archivos del sistema a través de URLs sospechosas en los registros de acceso, así como cambios no autorizados en la configuración del plugin o en los archivos del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Advanced Classifieds & Directory Pro hasta la 3.1.3. Se recomienda a los usuarios que verifiquen la versión instalada y realicen la actualización correspondiente.