IDonate <= 2.1.9 - Unauthenticated Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

La vulnerabilidad crítica en el plugin IDonate, que afecta a versiones hasta la 2.1.9, permite la inclusión local de archivos sin autenticación, lo que puede comprometer la seguridad del sitio. Esta falla fue publicada el 9 de abril de 2025 y tiene un CVSS de 9.8.

Contexto técnico

La vulnerabilidad se origina en una incorrecta validación de las entradas, permitiendo a un atacante acceder a archivos del sistema local del servidor. Esto se clasifica como una inclusión local de archivos (LFI), que puede ser utilizada para ejecutar código malicioso o exfiltrar información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante no autenticado acceder a archivos críticos del sistema, lo que puede llevar a la exposición de datos sensibles o incluso a la toma de control del servidor. Esto podría resultar en daños a la reputación y pérdidas financieras para el negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las entradas de la URL para incluir archivos del sistema, lo que les permite acceder a información no autorizada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin IDonate a la versión 2.1.9 o superior. Además, se deben implementar medidas de hardening en el servidor, como restringir el acceso a archivos sensibles y validar adecuadamente las entradas del usuario.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a archivos del sistema, así como alertas de cambios no autorizados en archivos críticos del servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.9 del plugin IDonate. Se aconseja a los administradores de sitios que verifiquen la versión instalada para asegurar la protección adecuada.