AWSM Team <= 1.3.1 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin AWSM Team, que afecta a las versiones hasta la 1.3.1. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el manejo inadecuado de las entradas, lo que permite que un atacante autenticado pueda manipular las rutas de los archivos y, por tanto, incluir archivos del servidor. Esto representa una superficie de ataque crítica, especialmente para usuarios con privilegios elevados.

Impacto potencial

El impacto potencial es alto, ya que un atacante podría acceder a información sensible del servidor, lo que podría resultar en la exposición de datos confidenciales o la ejecución de código malicioso. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de solicitudes manipuladas que permiten a un usuario autenticado acceder a archivos del sistema. Esto puede incluir la modificación de parámetros en las URL o formularios del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin AWSM Team a la versión 1.3.2 o superior. Además, es aconsejable revisar los permisos de los usuarios y aplicar prácticas de seguridad adicionales, como la validación de entradas y el uso de listas blancas para las rutas de archivos.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema, errores de inclusión de archivos en los registros y actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin AWSM Team hasta la 1.3.1. La vulnerabilidad fue publicada el 1 de julio de 2024.