BRW <= 1.8.6 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin BRW en versiones hasta la 1.8.6. Esta vulnerabilidad, con una puntuación CVSS de 8.8, permite a usuarios autenticados con rol de colaborador o superior acceder a archivos sensibles del servidor.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las rutas de los archivos, permitiendo que un atacante autenticado manipule las entradas y acceda a archivos del sistema que no deberían ser accesibles. Esto puede incluir archivos de configuración y otros datos críticos.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que un atacante podría obtener acceso a información sensible del servidor, lo que podría comprometer la seguridad general del sitio y la integridad de los datos. Esto representa un riesgo significativo para la reputación y la operativa del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la manipulación de parámetros en las solicitudes HTTP por parte de un usuario autenticado con permisos de colaborador o superior, lo que permite la inclusión de archivos locales no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin BRW a la versión 1.8.7 o superior. Además, se sugiere realizar una revisión de los permisos de usuario y aplicar medidas de hardening en la configuración del servidor para limitar el acceso a archivos sensibles.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso que muestren patrones inusuales en las solicitudes de archivos, especialmente aquellas que intentan acceder a rutas de archivos del sistema o configuraciones del servidor.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 1.8.7. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.