LA-Studio Element Kit for Elementor <= 1.4.2 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin LA-Studio Element Kit para Elementor, que afecta a las versiones hasta la 1.4.2. Esta vulnerabilidad tiene una alta severidad y puede ser explotada por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad LFI permite a un atacante acceder a archivos del sistema del servidor que no deberían ser accesibles. En este caso, se puede explotar a través de parámetros en las solicitudes HTTP, lo que expone la superficie de ataque a usuarios con privilegios limitados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del servidor, permitiendo a un atacante acceder a información sensible o ejecutar código malicioso. Esto podría tener repercusiones graves en la integridad y disponibilidad del sitio web, así como en la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar la vulnerabilidad enviando solicitudes manipuladas que incluyen rutas de archivos del sistema, lo que les permite leer contenido no autorizado. Esto requiere que el atacante tenga acceso como usuario autenticado con un rol específico.

Mitigación recomendada

Actualizar el plugin LA-Studio Element Kit a la versión 1.4.3 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a rutas de archivos del sistema, así como alertas de cambios en archivos sensibles o configuraciones del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin LA-Studio Element Kit para Elementor hasta la 1.4.2. Es crucial que los administradores de sitios verifiquen si están utilizando esta versión o anterior.