Void Elementor Post Grid Addon for Elementor Page builder <= 2.3 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI)) - version 2.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin 'Void Elementor Post Grid Addon for Elementor Page Builder' en versiones hasta la 2.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes de archivos, permitiendo que un atacante autenticado especifique rutas de archivo arbitrarias. Esto expone el sistema a riesgos de acceso no autorizado a información sensible almacenada en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante acceder a archivos del servidor, lo que puede resultar en la exposición de datos sensibles o la ejecución de código malicioso. Esto podría comprometer la integridad y confidencialidad de la instalación de WordPress, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Normalmente, la explotación de esta vulnerabilidad se lleva a cabo mediante la manipulación de parámetros en las solicitudes del plugin, permitiendo a un usuario autenticado acceder a archivos locales que no deberían estar disponibles para su rol.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.4 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de hardening en la configuración del servidor para limitar el acceso a archivos críticos.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intentan acceder a archivos del sistema, así como comportamientos anómalos de usuarios autenticados que podrían indicar intentos de explotación de la vulnerabilidad.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4 del plugin 'Void Elementor Post Grid Addon for Elementor Page Builder'.