Point Maker <= 0.1.4 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Inclusión de Archivos Locales (LFI) en el plugin Point Maker, que afecta a versiones hasta la 0.1.4. Este fallo permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema que no deberían estar disponibles.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes de archivos, permitiendo a un atacante autenticado manipular la entrada para incluir archivos del servidor. Esto puede comprometer la seguridad del sistema al exponer información sensible.

Impacto potencial

El impacto potencial incluye la exposición de datos confidenciales y la posibilidad de que un atacante ejecute código malicioso en el servidor. Esto puede llevar a un compromiso total del sitio web y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas tras autenticarse como usuarios con permisos de colaborador o superiores, lo que les permite acceder a archivos del sistema.

Mitigación recomendada

Actualizar el plugin Point Maker a la versión 0.1.5 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales en la configuración del servidor.

Señales de detección

Señales de posible explotación incluyen intentos de acceso a archivos sensibles en los registros de acceso y cambios inusuales en la configuración del servidor o en los archivos del sitio.

Alcance afectado

Las versiones del plugin Point Maker hasta la 0.1.4 están afectadas. Se recomienda a todos los usuarios de estas versiones que actualicen inmediatamente.