Jobmonster Elementor Addon <= 1.1.4 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el complemento Jobmonster Elementor Addon hasta la versión 1.1.4. Esta falla permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la forma en que el complemento maneja las solicitudes de archivos, permitiendo que un atacante autenticado especifique rutas de archivos locales. Esto puede dar lugar a la exposición de información sensible y comprometer la seguridad del servidor.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que podría permitir a un atacante acceder a información confidencial del servidor, lo que podría resultar en filtraciones de datos y comprometer la integridad de la instalación de WordPress.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas tras autenticarse como usuarios con privilegios de colaborador o superiores, lo que les permite acceder a archivos del sistema que no deberían estar disponibles.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el complemento Jobmonster Elementor Addon a la versión 1.1.5 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la configuración de WordPress.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a archivos sensibles, así como cambios inesperados en la configuración del servidor o en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las versiones del complemento Jobmonster Elementor Addon hasta la 1.1.4. Se recomienda a todos los usuarios de este complemento verificar su versión y proceder a la actualización.