Prevent files / folders access <= 2.6.0 - Authenticated (Subscriber+) Path Traversal

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin 'Prevent files / folders access' en versiones hasta la 2.6.0. Esta falla permite a usuarios autenticados de nivel Subscriber y superior realizar ataques de Path Traversal.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las rutas de acceso a archivos, permitiendo a un atacante manipular las rutas y acceder a archivos del sistema que deberían estar protegidos. Esto puede comprometer la integridad del servidor y la seguridad de la información almacenada.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de que un atacante ejecute código malicioso en el servidor. Esto puede llevar a la pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que aprovechan la falta de validación adecuada de las rutas de acceso, permitiendo la inclusión de archivos no autorizados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 2.6.1 o superior. Además, se deben revisar las configuraciones de acceso y aplicar prácticas de hardening en el servidor para limitar el acceso a archivos sensibles.

Señales de detección

Señales de riesgo incluyen intentos de acceso a rutas de archivos no autorizados en los logs del servidor y patrones de tráfico inusuales que indican intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.1 del plugin 'Prevent files / folders access'.