JetWooBuilder <= 2.1.18 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin JetWooBuilder hasta la versión 2.1.18, que permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema. Esta vulnerabilidad tiene una gravedad alta con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes de inclusión de archivos. Un atacante autenticado puede manipular las entradas para incluir archivos del servidor, lo que puede llevar a la exposición de información sensible o a la ejecución de código malicioso.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite a usuarios no privilegiados acceder a información sensible del servidor, lo que podría comprometer la seguridad del sitio y la integridad de los datos del negocio.

Vector de explotación

Generalmente, los atacantes autenticados utilizan técnicas de manipulación de parámetros en las solicitudes para incluir archivos del sistema, aprovechando la falta de validación adecuada en el plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin JetWooBuilder a la versión 2.1.18.1 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de hardening en la configuración del servidor.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema o registros de errores que indiquen intentos de inclusión de archivos no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones de JetWooBuilder hasta la 2.1.18. La vulnerabilidad afecta a instalaciones que permiten el acceso a usuarios con rol de colaborador o superior.