TheGem Theme Elements (for WPBakery) <= 5.10.5.1 - Unauthenticated Local File Inclusion en Thegem Elements (inclusion local de archivos (LFI)) - version 5.10.5.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión local de archivos (LFI) en el plugin TheGem Theme Elements para WPBakery, que afecta a las versiones hasta la 5.10.5.1. Esta vulnerabilidad, catalogada con una severidad alta, permite a un atacante no autenticado acceder a archivos del sistema.

Contexto técnico

La vulnerabilidad de LFI se produce cuando el plugin no valida adecuadamente las rutas de los archivos solicitados, permitiendo que un atacante incluya archivos arbitrarios en el servidor. Esto se puede explotar a través de parámetros manipulados en las solicitudes HTTP, lo que representa un vector de ataque directo a la superficie de la aplicación web.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los atacantes acceder a información sensible del servidor, lo que podría comprometer la seguridad de la instalación de WordPress y los datos de los usuarios. Esto podría resultar en la pérdida de confianza por parte de los clientes y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las solicitudes para incluir archivos del sistema, lo que puede llevar a la divulgación de información crítica y potencialmente a la ejecución de código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 5.10.5.2 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de entradas y la restricción de acceso a archivos sensibles en el servidor.

Señales de detección

Las señales de posible explotación incluyen solicitudes inusuales a archivos del sistema y patrones de acceso que intentan incluir archivos no autorizados. Monitorizar los registros de acceso puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.10.5.2 del plugin TheGem Theme Elements para WPBakery, lanzadas hasta el 13 de octubre de 2025.