Beds24 Online Booking <= 2.0.28 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Beds24 Online Booking, afectando a versiones hasta la 2.0.28. Esta vulnerabilidad, catalogada con una alta severidad, permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes de archivos, permitiendo a un atacante autenticado manipular las rutas de los archivos y acceder a información sensible del servidor. La superficie de ataque se centra en la interacción del usuario con el sistema de archivos a través del plugin.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de ejecutar código malicioso en el servidor. Esto puede llevar a una pérdida de integridad y confidencialidad de la información, así como a posibles interrupciones en el servicio.

Vector de explotación

La explotación típicamente se realiza mediante la manipulación de parámetros en las solicitudes del plugin, lo que permite a un atacante acceder a archivos del sistema que no deberían ser accesibles.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.0.29 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de hardening en la configuración del servidor para limitar el acceso a archivos críticos.

Señales de detección

Señales de riesgo pueden incluir intentos de acceso a archivos del sistema a través de logs de acceso, así como patrones inusuales de solicitudes que intenten manipular rutas de archivos.

Alcance afectado

Las versiones del plugin Beds24 Online Booking hasta la 2.0.28 están afectadas. Es crucial que todas las instalaciones que utilicen este plugin sean auditadas.