Bookory <= 2.2.7 - Authenticated (Contributor+) Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el tema Bookory, que afecta a las versiones hasta la 2.2.7. Esta vulnerabilidad permite a los usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el tema Bookory maneja las solicitudes de archivos. Un atacante con privilegios de colaborador puede manipular las entradas para incluir archivos del servidor local, lo que puede comprometer la integridad del sistema y exponer datos sensibles.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a usuarios no privilegiados acceder a archivos críticos en el servidor. Esto podría llevar a la exposición de información sensible o a la ejecución de código malicioso, afectando la reputación y la operatividad del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la manipulación de parámetros en las solicitudes, permitiendo al atacante incluir archivos del sistema que deberían estar protegidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Bookory a la versión 2.2.8 o superior. Además, se sugiere revisar las configuraciones de permisos de usuario y aplicar prácticas de hardening en la gestión de archivos y acceso al servidor.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a archivos del sistema o registros de errores que indiquen intentos de inclusión de archivos no autorizados.

Alcance afectado

Las versiones del tema Bookory desde la 2.2.7 y anteriores están afectadas por esta vulnerabilidad. Las instalaciones que no han sido actualizadas a la versión 2.2.8 corren un alto riesgo.