Newsletters <= 4.9.9.9 - Authenticated (Administrator+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Newsletters hasta la versión 4.9.9.9, que afecta a administradores autenticados. Esta vulnerabilidad tiene una severidad alta y un CVSS de 7.2.

Contexto técnico

La vulnerabilidad permite a un atacante autenticado con privilegios de administrador acceder a archivos del sistema local a través de rutas manipuladas. Esto se debe a una validación insuficiente de las entradas que permiten la inclusión de archivos.

Impacto potencial

El impacto potencial incluye la exposición de información sensible y la posibilidad de ejecutar código malicioso en el servidor, lo que podría comprometer la integridad y disponibilidad del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad manipulando las solicitudes enviadas al plugin, lo que les permite incluir archivos del sistema local en el contexto de ejecución de la aplicación.

Mitigación recomendada

Actualizar el plugin Newsletters a la versión 4.10 o superior. Además, se recomienda realizar una auditoría de seguridad del sistema y aplicar medidas de hardening en la configuración del servidor.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema y registros de errores relacionados con la inclusión de archivos no autorizados.

Alcance afectado

Las versiones del plugin Newsletters hasta la 4.9.9.9 son vulnerables. Se recomienda verificar todas las instalaciones que utilicen este plugin.