Bold Page Builder <= 5.1.5 - Authenticated (Editor+) Path Traversal (inclusion local de archivos (LFI)) - version 5.1.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Path Traversal' en el plugin Bold Page Builder, afectando a versiones hasta la 5.1.5. Esta vulnerabilidad permite el acceso no autorizado a archivos del sistema bajo ciertas condiciones.

Contexto técnico

La vulnerabilidad se presenta en el manejo de rutas dentro del plugin, permitiendo a usuarios autenticados con rol de Editor o superior acceder a archivos del sistema que no deberían ser accesibles. Esto se debe a una validación insuficiente de las rutas proporcionadas por el usuario.

Impacto potencial

El impacto de esta vulnerabilidad, aunque clasificado como bajo, puede permitir a un atacante acceder a información sensible del servidor, lo que podría comprometer la seguridad general del sitio y la integridad de los datos.

Vector de explotación

La explotación suele llevarse a cabo mediante la manipulación de solicitudes que incluyen rutas maliciosas, permitiendo al atacante acceder a archivos del sistema al ser autenticado como Editor o superior.

Mitigación recomendada

Actualizar el plugin Bold Page Builder a la versión 5.1.6 o superior. Además, se recomienda revisar los permisos de los usuarios y aplicar prácticas de seguridad adicionales para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a archivos del sistema o intentos de acceso a rutas que no deberían ser accesibles por los usuarios con rol de Editor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.1.6 del plugin Bold Page Builder.