Panorama – 360 degree Virtual Tour, Panoramic Image viewer and More <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI)) - version 1.7.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos local (LFI) en el plugin Panorama, versiones hasta 1.6.1. Esta falla, de severidad alta, permite a usuarios autenticados acceder a archivos sensibles, lo que puede comprometer la seguridad del sistema operativo.

Contexto técnico

La vulnerabilidad se presenta en el plugin Panorama, que permite la visualización de imágenes panorámicas. La superficie de ataque está expuesta a usuarios con permisos de contribuidor o superiores, quienes pueden manipular las solicitudes para acceder a archivos del servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de datos sensibles y en la ejecución de código no autorizado, afectando la integridad y confidencialidad del sitio. Esto podría llevar a la pérdida de confianza de los usuarios y a sanciones regulatorias si se manejan datos personales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante la manipulación de parámetros en las solicitudes HTTP, logrando así acceder a archivos del sistema que no deberían ser accesibles.

Mitigación recomendada

Actualizar el plugin Panorama a la versión 1.7.0 o superior. Revisar y restringir los permisos de usuario para minimizar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para detectar y bloquear intentos de explotación.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes, como intentos de acceder a archivos fuera del directorio permitido o parámetros sospechosos en las URL.

Alcance afectado

Las versiones del plugin Panorama hasta la 1.6.1 están afectadas. No se han confirmado otros escenarios de explotación en versiones posteriores.