MyHome Core <= 4.1.0 - Unauthenticated Local File Inclusion (inclusion local de archivos (LFI)) - version 4.1.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales no autenticada en el plugin MyHome Core, afectando a versiones hasta la 4.1.0. Este fallo presenta un alto nivel de severidad, con un CVSS de 8.1.

Contexto técnico

La vulnerabilidad permite a un atacante no autenticado acceder a archivos del sistema del servidor a través de peticiones manipuladas. Esto se debe a una falta de validación adecuada de las entradas, lo que crea un vector de ataque para acceder a información sensible.

Impacto potencial

El impacto puede ser severo, ya que un atacante podría obtener información confidencial del servidor, comprometer la integridad del sistema y potencialmente escalar privilegios. Esto podría resultar en daños significativos a la reputación y a la seguridad de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP que manipulan los parámetros de entrada para acceder a archivos locales del servidor, sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin MyHome Core a la versión 4.1.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación de entradas y la restricción de acceso a archivos sensibles.

Señales de detección

Se deben monitorear los registros de acceso en busca de patrones inusuales de acceso a archivos locales, así como intentos de manipulación de parámetros en las solicitudes HTTP.

Alcance afectado

Las versiones del plugin MyHome Core hasta la 4.1.0 son las afectadas. Las instalaciones que no han sido actualizadas a la versión 4.1.1 o superior están en riesgo.