Google Map Targeting <= 1.1.6 - Authenticated (Subscriber+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Google Map Targeting, que afecta a las versiones hasta la 1.1.6. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Google Map Targeting y permite a un atacante autenticado realizar una inclusión de archivos locales. Esto ocurre cuando el plugin no valida adecuadamente las entradas del usuario, lo que puede llevar a la exposición de archivos sensibles del servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante acceder a información sensible del servidor que podría ser utilizada para comprometer aún más la seguridad del sitio. Esto podría resultar en la pérdida de datos, alteración del sitio o incluso su total inoperatividad.

Vector de explotación

Generalmente, un atacante autenticado puede explotar esta vulnerabilidad manipulando las solicitudes para incluir archivos del sistema, lo que le permite acceder a información no autorizada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Google Map Targeting a la versión 1.1.7 o superior. Además, es aconsejable revisar las configuraciones de permisos y validar las entradas del usuario en todos los puntos de entrada del sistema.

Señales de detección

Las señales de posible explotación incluyen accesos no autorizados a archivos del sistema en los registros del servidor y comportamientos inusuales de usuarios autenticados en el panel de administración.

Alcance afectado

Las versiones afectadas del plugin son todas las anteriores a la 1.1.7. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión inmediatamente.