IDonatePro <= 2.1.8 - Unauthenticated Local File Inclusion

Resumen ejecutivo

La vulnerabilidad de inclusión de archivos locales no autenticada en el plugin IDonatePro hasta la versión 2.1.8 permite a atacantes remotos acceder a archivos del servidor. Este fallo, clasificado como de alta gravedad, puede comprometer seriamente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se presenta en el plugin IDonatePro, permitiendo a un atacante acceder a archivos del sistema sin necesidad de autenticación. Esto se debe a una incorrecta validación de las entradas, lo que abre la puerta a la inclusión de archivos locales (LFI).

Impacto potencial

El impacto potencial incluye la exposición de información sensible y la posibilidad de ejecutar código malicioso en el servidor, lo que podría llevar a un compromiso total de la instalación de WordPress y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que permiten la inclusión de archivos del sistema, lo que puede resultar en la divulgación de información crítica.

Mitigación recomendada

Actualizar el plugin IDonatePro a la versión 2.1.8 o superior. Además, se recomienda revisar las configuraciones de seguridad del servidor y aplicar buenas prácticas de hardening en la instalación de WordPress.

Señales de detección

Señales de explotación pueden incluir solicitudes inusuales en los registros de acceso, especialmente aquellas que intentan acceder a archivos críticos del sistema o que contienen patrones típicos de LFI.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.8 del plugin IDonatePro. Es fundamental verificar las instalaciones para asegurar que no se esté utilizando una versión vulnerable.