Homeo <= 1.2.59 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el tema Homeo, que afecta a versiones hasta la 1.2.59. Esta vulnerabilidad, con una severidad alta, puede comprometer la seguridad de la instalación si no se aborda adecuadamente.

Contexto técnico

El fallo se origina en el tema Homeo y permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema. La superficie de ataque se centra en la manipulación de parámetros que controlan la inclusión de archivos.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de ejecución de código malicioso, lo que puede afectar gravemente la integridad y disponibilidad del sitio web.

Vector de explotación

La explotación se realiza mediante la manipulación de solicitudes HTTP que permiten la inclusión de archivos locales, facilitando el acceso no autorizado a información crítica.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 1.2.59. Actualiza homeo a la versión 1.2.59 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 1.2.59, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en solicitudes que incluyan parámetros de inclusión de archivos.

Alcance afectado

Las versiones del tema Homeo hasta la 1.2.59 se ven afectadas. No se han confirmado casos en versiones posteriores.