The Pack Elementor addons <= 2.1.1 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin The Pack Elementor addons, que afecta a las versiones hasta la 2.1.1. Esta vulnerabilidad tiene una severidad alta, con un CVSS de 8.8, lo que la convierte en un riesgo significativo para las instalaciones afectadas.

Contexto técnico

La vulnerabilidad LFI permite a un atacante autenticado con rol de contribuyente o superior acceder a archivos del sistema que no deberían ser accesibles. Esto se debe a una mala validación de las entradas, lo que abre la puerta a la inclusión de archivos locales en el servidor.

Impacto potencial

El impacto potencial incluye la exposición de información sensible del servidor y la posibilidad de que un atacante ejecute código malicioso. Esto puede comprometer la seguridad del sitio web y afectar la confianza de los usuarios, así como la integridad de los datos.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de parámetros en las solicitudes al plugin, lo que permite al atacante incluir archivos locales y potencialmente ejecutar código no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.1.2 o superior. Además, se sugiere revisar las configuraciones de seguridad y aplicar buenas prácticas de hardening en el servidor.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales, intentos de acceder a archivos del sistema o errores relacionados con la inclusión de archivos en los registros del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin The Pack Elementor addons hasta la 2.1.1. Las instalaciones que utilizan estas versiones son vulnerables.