FAT Services Booking <= 5.5 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin FAT Services Booking hasta la versión 5.5. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La falla se origina en el manejo inadecuado de rutas de archivos en el plugin, lo que permite a un atacante autenticado manipular las solicitudes para incluir archivos del servidor. Esto representa una superficie de ataque considerable, dado que afecta a usuarios con permisos de contribuidor o superiores.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que podría permitir a un atacante acceder a información sensible almacenada en el servidor, comprometiendo la integridad y confidencialidad de los datos. Esto podría tener repercusiones graves para la reputación y la seguridad de la organización.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo al atacante incluir archivos locales en el servidor al aprovechar la falta de validación adecuada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin FAT Services Booking a la versión 5.5 o superior. Además, se sugiere implementar controles de acceso más estrictos y realizar auditorías de seguridad periódicas en el sistema.

Señales de detección

Las señales de posible explotación incluyen intentos de acceso a archivos sensibles mediante parámetros inusuales en las solicitudes, así como registros de errores del servidor que indiquen intentos de inclusión de archivos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.5 del plugin FAT Services Booking. Se recomienda verificar todas las instalaciones que utilicen este plugin.