Barcode Scanner with Inventory & Order Manager <= 1.10.4 - Authenticated (Shop Manager+) Directory Traversal

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin 'Barcode Scanner with Inventory & Order Manager' en versiones hasta la 1.10.4. Esta vulnerabilidad permite a usuarios autenticados acceder a archivos del servidor de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en una mala gestión de las rutas de acceso a archivos, lo que permite a un atacante autenticado manipular las solicitudes para acceder a directorios y archivos sensibles del sistema. La superficie de ataque se limita a usuarios con privilegios de Shop Manager o superiores.

Impacto potencial

El impacto de esta vulnerabilidad es considerado bajo, con un CVSS score de 2.7. Sin embargo, la explotación podría permitir el acceso a información sensible del servidor, lo que podría comprometer la seguridad de la instalación y la integridad de los datos.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo al atacante acceder a archivos en el sistema de archivos del servidor que normalmente estarían protegidos.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.10.5 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad adecuadas en la gestión de plugins.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del servidor, registros de errores que indiquen intentos de acceso a rutas no autorizadas y patrones de comportamiento sospechosos por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin hasta la 1.10.4. Las instalaciones que utilizan versiones anteriores a la 1.10.5 están en riesgo.