Multiple Page Generator Plugin – MPG <= 4.0.2 - Authenticated (Editor+) Directory Traversal to Limited File Deletion en Multiple Pages Generator BY Porthas (inclusion local de archivos (LFI)) - version 4.0.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin Multiple Page Generator (MPG) en versiones hasta la 4.0.2. Esta falla permite a usuarios autenticados con rol de editor o superior realizar eliminaciones limitadas de archivos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las rutas de archivos, permitiendo que un atacante autenticado manipule la entrada para acceder a directorios no autorizados. Esto puede llevar a la eliminación de archivos en el servidor, lo que representa un riesgo para la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad es considerado bajo, con un CVSS de 2.7. Sin embargo, la posibilidad de eliminación de archivos podría afectar la funcionalidad del sitio web y comprometer datos críticos, lo que podría tener repercusiones en la confianza del usuario y la reputación del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP por parte de un usuario autenticado que tiene un rol de editor o superior, lo que le permite acceder a funciones no autorizadas del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.0.3 o superior. Además, se sugiere revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin para usuarios que no necesiten esos privilegios.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a rutas de archivos no estándar o eliminaciones de archivos inesperadas en el servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.0.3 del plugin Multiple Page Generator, que se utiliza en diversas instalaciones de WordPress.