Team Builder For WPBakery Page Builder(Formerly Visual Composer) <= 1.0 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Team Builder para WPBakery Page Builder, que afecta a versiones anteriores a la 1.0. Este fallo permite a usuarios autenticados con rol de contribuyente o superior acceder a archivos del servidor de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas del usuario, lo que permite la inclusión de archivos locales en el servidor. Esto se puede explotar mediante solicitudes manipuladas que permiten a un atacante acceder a archivos sensibles del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible del servidor, lo que podría comprometer la seguridad del sitio web y la integridad de los datos almacenados. Esto podría derivar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, lo que permite a un usuario autenticado cargar archivos locales y, potencialmente, ejecutar código malicioso en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0 o superior. También es aconsejable implementar medidas de validación de entradas y limitar los privilegios de los usuarios, asegurando que solo los roles necesarios tengan acceso a funcionalidades críticas.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a archivos del sistema, así como alertas de cambios en archivos que no deberían ser modificados por los usuarios del sitio.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Team Builder para WPBakery Page Builder anteriores a la 1.0, lo que incluye a todas las instalaciones que no han sido actualizadas desde su lanzamiento.