Leyka <= 3.31.9 - Unauthenticated Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales no autenticada en el plugin Leyka, que afecta a versiones hasta la 3.31.9. Esta vulnerabilidad presenta un alto riesgo, con una puntuación CVSS de 8.1.

Contexto técnico

La vulnerabilidad se clasifica como Local File Inclusion (LFI), lo que permite a un atacante acceder a archivos del sistema local del servidor sin necesidad de autenticación. Esto se debe a una mala gestión de las rutas de los archivos en el código del plugin.

Impacto potencial

El impacto potencial incluye la exposición de información sensible del servidor, lo que podría llevar a una escalada de privilegios o a la ejecución de código malicioso. Esto puede comprometer la seguridad del sitio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad manipulando las solicitudes al plugin para incluir archivos locales, lo que les permite acceder a información crítica del sistema.

Mitigación recomendada

Actualizar el plugin Leyka a la versión 3.31.9 o superior. Además, se recomienda revisar la configuración de seguridad del servidor y aplicar medidas de hardening para proteger la inclusión de archivos.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intentan acceder a archivos del sistema, así como alertas de seguridad que indiquen intentos de explotación de la vulnerabilidad.

Alcance afectado

Todas las instalaciones del plugin Leyka en versiones anteriores a la 3.31.9 están afectadas por esta vulnerabilidad.