Qode Essential Addons <= 1.6.3 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI)) - version 1.6.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Qode Essential Addons, que afecta a las versiones hasta la 1.6.3. Esta falla permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes para incluir archivos locales. Un atacante con privilegios de contribuyente puede manipular las rutas de los archivos, lo que permite la inclusión no autorizada de archivos del servidor, comprometiendo así la integridad del sistema.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que permite a un atacante acceder a información sensible del servidor y ejecutar código malicioso. Esto podría llevar a la pérdida de datos, compromisos de seguridad y daño a la reputación del negocio.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante el envío de solicitudes manipuladas que aprovechan la inclusión de archivos locales. Un atacante autenticado puede modificar parámetros en las peticiones para acceder a archivos críticos del sistema.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.6.4 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del servidor para limitar el acceso a archivos sensibles.

Señales de detección

Señales de riesgo incluyen intentos inusuales de acceso a archivos del sistema desde cuentas de usuario autenticadas, así como registros de errores que indiquen fallos en la inclusión de archivos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Qode Essential Addons hasta la 1.6.3. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.