Goya Core < 1.0.9.4 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Goya Core versiones anteriores a 1.0.9.4. Este fallo, clasificado como de alta severidad, permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que puede comprometer la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes de archivos, permitiendo que usuarios autenticados manipulen la ruta de acceso a archivos locales. Esto se traduce en una superficie de ataque accesible a cualquier usuario con privilegios de colaborador o superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de información sensible y la posibilidad de ejecución de código malicioso. Esto podría afectar la integridad del sitio y la confianza de los usuarios, además de potencialmente dañar la reputación de la organización.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP para acceder a archivos no autorizados en el servidor, lo que puede ser realizado por cualquier usuario autenticado con permisos adecuados.

Mitigación recomendada

Actualizar el plugin Goya Core a la versión 1.0.9.4 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a roles necesarios. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales en las solicitudes de archivos, así como configuraciones que permitan la inclusión de archivos no autorizados.

Alcance afectado

Las versiones del plugin Goya Core anteriores a 1.0.9.4 están afectadas. No se han confirmado otros escenarios específicos de explotación.