Curly Core <= 2.1.6 - Unauthenticated Local File Inclusion (inclusion local de archivos (LFI)) - version 2.2.2

Resumen ejecutivo

La vulnerabilidad de inclusión de archivos locales no autenticada en el plugin Curly Core, presente en versiones hasta 2.1.6, permite a un atacante acceder a archivos sensibles del servidor. Este fallo de alta gravedad tiene un CVSS de 8.1 y fue publicado el 16 de marzo de 2026.

Contexto técnico

La vulnerabilidad se manifiesta a través de un fallo en la validación de entradas, lo que permite a un atacante manipular las solicitudes para incluir archivos locales en el servidor. Esto puede dar lugar a la exposición de información sensible y comprometer la seguridad del sistema.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de que un atacante ejecute código malicioso en el servidor, lo que podría afectar gravemente la integridad y disponibilidad de los servicios de la web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que apuntan a archivos locales, lo que les permite acceder a información que no debería ser accesible sin autenticación.

Mitigación recomendada

Actualizar el plugin Curly Core a la versión 2.1.6 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de entradas y la restricción de acceso a archivos críticos.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intenten acceder a archivos locales, así como alertas de seguridad que indiquen intentos de explotación de vulnerabilidades LFI.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.6 del plugin Curly Core.