MAS Videos <= 1.3.2 - Authenticated (Contributor+) Local File Inclusion en Masvideos (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin MAS Videos en versiones hasta la 1.3.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del servidor de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en una mala validación de las entradas del usuario, lo que permite que un atacante autenticado manipule las rutas de los archivos. Esto se traduce en un potencial acceso a archivos sensibles del sistema, exponiendo información crítica.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos del sistema que podrían contener credenciales, configuraciones o datos sensibles, comprometiendo así la seguridad general del sitio y su negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones manipuladas a través de formularios o parámetros de URL, lo que les permite incluir archivos locales en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin MAS Videos a la versión 1.3.2 o superior. Además, se deben implementar prácticas de validación y sanitización de entradas en todos los plugins y temas instalados.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso inusuales que intentan acceder a archivos del sistema o errores en el servidor relacionados con la inclusión de archivos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3.2 del plugin MAS Videos.