Mortgage Calculator Estatik <= 2.0.12 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Mortgage Calculator Estatik hasta la versión 2.0.12. Este fallo permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad LFI se origina en la forma en que el plugin maneja las solicitudes de archivos. Un atacante autenticado puede manipular las entradas para incluir archivos del servidor, lo que podría llevar a la exposición de información sensible o a la ejecución de código malicioso.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos del sistema que no deberían ser accesibles, lo que podría comprometer la integridad y confidencialidad de la información del sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios o URLs, aprovechando el acceso que tienen como usuarios autenticados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 2.0.12 o superior. Además, se sugiere implementar controles de acceso más estrictos y validar las entradas para evitar manipulaciones.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intenten acceder a archivos del sistema o errores relacionados con la inclusión de archivos en los logs del servidor.

Alcance afectado

Las versiones del plugin Mortgage Calculator Estatik hasta la 2.0.12 están afectadas. Es crucial verificar la versión instalada en cada sitio para aplicar las actualizaciones necesarias.