BlogMarks < 1.1.2 - Unauthenticated Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales no autenticada en el tema BlogMarks, que afecta a versiones anteriores a la 1.0.8. Esta vulnerabilidad permite a un atacante acceder a archivos sensibles del servidor.

Contexto técnico

La vulnerabilidad se clasifica como una inclusión de archivos locales (LFI), lo que implica que un atacante puede manipular las rutas de los archivos para acceder a información del sistema que no debería ser accesible. La superficie de ataque se centra en las funcionalidades del tema que permiten la carga de archivos sin la debida autenticación.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que permite a atacantes no autenticados acceder a archivos del servidor, lo que podría comprometer la seguridad de la instalación y exponer datos sensibles, afectando tanto a la integridad del sistema como a la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el envío de solicitudes manipuladas que incluyen rutas de archivos, permitiendo al atacante acceder a archivos locales en el servidor sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema BlogMarks a la versión 1.0.8 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la restricción de acceso a directorios sensibles y la revisión de configuraciones de permisos en el servidor.

Señales de detección

Señales de posible explotación incluyen registros de acceso que muestran intentos de carga de archivos desde rutas inusuales o accesos a archivos que normalmente no deberían ser accesibles por usuarios no autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.8 del tema BlogMarks, publicado antes del 21 de agosto de 2025.