WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters < 4.9.3 - Authenticated (Subscriber+) Local File Inclusion en WP Google MAP Plugin (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin WP Maps, afectando a versiones anteriores a la 4.9.3. Este fallo, con una severidad alta, puede comprometer la seguridad operativa del sitio al permitir el acceso no autorizado a archivos del servidor.

Contexto técnico

El fallo se origina en la forma en que el plugin WP Maps maneja las solicitudes de archivos, permitiendo a usuarios autenticados con rol de suscriptor o superior acceder a archivos locales del servidor. Esto se convierte en un vector de ataque si se combina con credenciales de usuario legítimas.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a atacantes acceder a información sensible almacenada en el servidor, lo que podría derivar en un compromiso de datos y afectar la reputación del negocio. Además, la exposición de archivos críticos puede facilitar ataques posteriores.

Vector de explotación

Generalmente, los atacantes aprovechan la vulnerabilidad enviando solicitudes manipuladas a través de la interfaz del plugin, lo que les permite incluir y ejecutar archivos locales en el servidor.

Mitigación recomendada

Actualizar el plugin WP Maps a la versión 4.9.3 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de usuario para evitar accesos innecesarios a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de solicitudes de archivos y verificar configuraciones del plugin que permitan la inclusión de archivos locales.

Alcance afectado

Las versiones del plugin WP Maps anteriores a la 4.9.3 son vulnerables. No se han confirmado casos en versiones posteriores ni en instalaciones que no utilicen este plugin.