Flow <= 1.8 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el tema Flow, afectando a versiones hasta la 1.8. Este fallo de alta severidad puede comprometer la seguridad de la instalación, permitiendo el acceso no autorizado a archivos del servidor.

Contexto técnico

La vulnerabilidad se manifiesta en el tema Flow, permitiendo a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema a través de peticiones manipuladas. Esto se debe a una validación insuficiente de las rutas de archivos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes acceder a información sensible del servidor, lo que podría llevar a la exposición de datos críticos y comprometer la integridad del sistema.

Vector de explotación

El vector de explotación implica que un usuario autenticado envíe solicitudes diseñadas para incluir archivos locales, lo que puede resultar en la divulgación de información sensible.

Mitigación recomendada

Actualizar el tema Flow a la versión 1.8 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a roles estrictamente necesarios. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intentan acceder a archivos sensibles, así como configuraciones de permisos inadecuadas en el servidor.

Alcance afectado

Las versiones del tema Flow hasta la 1.8 están afectadas. No se ha confirmado el impacto en versiones posteriores.