SUMO Reward Points <= 30.7.0 - Unauthenticated Local File Inclusion en Rewardsystem (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin SUMO Reward Points, que permite la inclusión de archivos locales sin autenticación. Esta falla afecta a la versión 30.7.0 y anteriores, poniendo en riesgo la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se clasifica como Local File Inclusion (LFI), lo que permite a un atacante acceder a archivos del sistema local del servidor. Esto se produce debido a una falta de validación adecuada en las entradas del usuario, lo que facilita el acceso no autorizado a archivos sensibles.

Impacto potencial

El potencial impacto de esta vulnerabilidad es significativo, ya que puede permitir a un atacante acceder a información confidencial del servidor, comprometer la integridad de la instalación y ejecutar código malicioso, lo que podría llevar a una toma de control total del sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando parámetros en las solicitudes HTTP para incluir archivos del sistema. Dado que no se requiere autenticación, cualquier usuario malintencionado puede intentar realizar la explotación.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SUMO Reward Points a la versión 30.7.0 o superior. Además, se sugiere revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening, como la restricción de acceso a archivos sensibles.

Señales de detección

Señales de riesgo incluyen intentos de acceso a archivos del sistema a través de logs de acceso, así como patrones inusuales en las solicitudes HTTP que sugieran la manipulación de parámetros relacionados con la inclusión de archivos.

Alcance afectado

Las versiones del plugin SUMO Reward Points anteriores a la 30.7.0 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que utilicen estas versiones en sus sitios WordPress.