WPAdverts <= 2.2.2 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin WPAdverts, que afecta a las versiones hasta la 2.2.2. Esta vulnerabilidad, con un nivel de severidad alto, puede permitir a usuarios autenticados con rol de colaborador o superior acceder a archivos sensibles del servidor.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes de archivos, permitiendo que un atacante autenticado manipule rutas de archivos y acceda a información que no debería estar disponible. La superficie de ataque se centra en la interacción del usuario con la funcionalidad del plugin que gestiona archivos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos del servidor que podrían contener credenciales, configuraciones o información sensible, comprometiendo así la seguridad del sitio y la privacidad de los datos.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de parámetros en las solicitudes del plugin, permitiendo al atacante acceder a rutas de archivos no autorizadas. Esto requiere que el atacante tenga un acceso autenticado al sistema con un rol de colaborador o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WPAdverts a la versión 2.2.3 o superior. Además, es aconsejable revisar y restringir los permisos de los usuarios, así como realizar auditorías de seguridad periódicas en el sitio.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a archivos sensibles, así como cambios inesperados en la configuración del servidor o en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WPAdverts hasta la 2.2.2. Cualquier instalación que utilice estas versiones es susceptible a esta vulnerabilidad.