Rally <= 1.1 - Unauthenticated Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

La vulnerabilidad de inclusión de archivos locales no autenticada en el tema Rally, con una puntuación CVSS de 8.1, permite a un atacante acceder a archivos del servidor. Esta falla afecta a las versiones del tema anteriores a la 1.1, publicada el 2 de septiembre de 2025.

Contexto técnico

La vulnerabilidad se origina en la capacidad del tema Rally para incluir archivos de forma local sin requerir autenticación. Esto expone el servidor a ataques que permiten a los atacantes leer archivos sensibles, comprometiendo así la seguridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la divulgación de información sensible, comprometiendo la integridad y confidencialidad de los datos del sitio web. Esto podría llevar a un daño reputacional y a posibles sanciones legales si se manejan datos personales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas que permiten la inclusión de archivos locales, lo que les permite acceder a información crítica del servidor sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el tema Rally a la versión 1.1 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la restricción de acceso a archivos sensibles y la monitorización de logs.

Señales de detección

Señales que pueden indicar explotación incluyen intentos de acceso a archivos del sistema a través de URLs sospechosas en los logs del servidor, así como cambios inesperados en la configuración del tema o del servidor.

Alcance afectado

Las versiones del tema Rally anteriores a la 1.1 están afectadas. Es crucial revisar todas las instalaciones que utilicen este tema para asegurar que están actualizadas.