JetCompareWishlist <= 1.5.9 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin JetCompareWishlist, que afecta a las versiones hasta la 1.5.9. Este fallo permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes de archivos, permitiendo que un atacante autenticado especifique rutas de archivos locales. Esto puede dar lugar a la exposición de información sensible o la ejecución de código malicioso en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser grave, ya que permite a un atacante acceder a archivos del sistema, lo que podría comprometer la integridad y confidencialidad de datos críticos. Esto podría resultar en pérdida de confianza por parte de los usuarios y daños a la reputación de la empresa.

Vector de explotación

Normalmente, un atacante autenticado envía una solicitud manipulada al plugin para incluir un archivo local, lo que puede llevar a la divulgación de información sensible o a la ejecución de scripts maliciosos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin JetCompareWishlist a la versión 1.5.10 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como el uso de un firewall y la monitorización de actividades sospechosas.

Señales de detección

Se pueden detectar intentos de explotación observando registros de acceso que contengan solicitudes inusuales a archivos locales o patrones de acceso anómalos por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.10 del plugin JetCompareWishlist. Se debe verificar la instalación de este plugin en el sitio para evaluar el riesgo.