Tour Master - Tour Booking, Travel, Hotel <= 5.4.5 - Authenticated (Subscriber+) Local File Inclusion en Tourmaster (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin Tour Master, afectando a las versiones hasta 5.4.5. Esta falla de alta severidad puede comprometer la seguridad de los sitios que utilizan este componente, permitiendo el acceso no autorizado a archivos sensibles.

Contexto técnico

La vulnerabilidad se presenta en el plugin Tour Master, que permite a los usuarios autenticados (nivel Subscriber o superior) acceder a archivos del sistema a través de una manipulación de parámetros. Esto se convierte en un vector de ataque que puede ser explotado para obtener información sensible del servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a archivos del sistema, lo que podría comprometer la integridad y confidencialidad de datos críticos. Esto puede resultar en daños a la reputación de la empresa y potenciales pérdidas económicas.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo a un usuario autenticado acceder a archivos locales que no deberían ser expuestos.

Mitigación recomendada

Actualizar el plugin Tour Master a la versión 5.4.5 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de permisos de archivos en el servidor para limitar el acceso no autorizado. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF), para mitigar riesgos futuros.

Señales de detección

Monitorear los registros de acceso para detectar patrones inusuales de solicitudes que intenten acceder a archivos locales, así como configuraciones de seguridad que puedan haber sido alteradas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.4.5 del plugin Tour Master. No se han confirmado casos de explotación en versiones posteriores.