CSS & JavaScript Toolbox < 12.0.3 - Authenticated (Subscriber+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin CSS & JavaScript Toolbox, afectando a versiones anteriores a la 12.0.3. Esta vulnerabilidad tiene una alta severidad y puede ser explotada por usuarios autenticados con privilegios de suscriptor o superiores.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las rutas de archivos, permitiendo a un atacante autenticado acceder a archivos del sistema del servidor. Esto puede llevar a la exposición de información sensible o a la ejecución de código malicioso.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes con acceso limitado obtener información crítica del servidor, lo que podría comprometer la integridad y confidencialidad de los datos del sitio web, así como su disponibilidad.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen rutas de archivos locales, lo que les permite acceder a archivos que normalmente no estarían disponibles para ellos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin CSS & JavaScript Toolbox a la versión 12.0.3 o superior. Además, es aconsejable revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a archivos del sistema o errores en el servidor relacionados con la carga de archivos locales.

Alcance afectado

Las versiones del plugin CSS & JavaScript Toolbox anteriores a la 12.0.3 están afectadas. Cualquier instalación que utilice este plugin en versiones anteriores corre el riesgo de ser vulnerable.