Listivo Core <= 2.3.77 - Unauthenticated Local File Inclusion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Inclusión de Archivos Locales (LFI) en el plugin Listivo Core, que afecta a las versiones hasta la 2.3.77. Esta vulnerabilidad permite a un atacante no autenticado acceder a archivos del sistema, lo que representa un riesgo significativo para la seguridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de una incorrecta validación de las entradas del usuario, permitiendo que un atacante realice peticiones maliciosas que incluyan archivos locales del servidor. Esto puede comprometer la integridad del sistema al exponer información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite el acceso no autorizado a datos críticos del sistema, lo que podría llevar a la exposición de información confidencial y a un posible control del servidor por parte de un atacante.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que buscan incluir archivos locales, lo que les permite acceder a información sensible almacenada en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Listivo Core a la versión 2.3.78 o superior. Además, se deben implementar medidas de seguridad adicionales, como la validación estricta de entradas y la restricción de acceso a archivos sensibles.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intenten acceder a archivos del sistema, así como alertas de seguridad relacionadas con la inclusión de archivos no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Listivo Core hasta la 2.3.77. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y proceder con la actualización.