LA-Studio Element Kit for Elementor <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion via 'progress_type' Widget Setting en Lastudio Element KIT (inclusion local de archivos (LFI)) - version 1.6.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin LA-Studio Element Kit para Elementor, afectando a las versiones hasta la 1.6.1. Esta falla permite a usuarios autenticados con rol de colaborador o superior acceder a archivos del sistema, lo que puede comprometer la seguridad operativa del sitio.

Contexto técnico

El fallo se origina en la configuración del widget 'progress_type', que no valida adecuadamente las entradas del usuario. Esto permite que un atacante autenticado manipule las solicitudes para incluir archivos locales en el servidor, exponiendo información sensible.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la divulgación de datos críticos del servidor, afectando la confidencialidad e integridad de la información. Además, puede facilitar ataques posteriores, comprometiendo la seguridad general del sitio web y la confianza de los usuarios.

Vector de explotación

Generalmente, un atacante autenticado envía solicitudes manipuladas a través del widget afectado para incluir archivos locales, lo que permite la lectura de información sensible del servidor.

Mitigación recomendada

Actualizar el plugin LA-Studio Element Kit a la versión 1.6.2 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para limitar el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos de explotación.

Señales de detección

Monitorizar los registros de acceso en busca de patrones inusuales en las solicitudes al widget 'progress_type', así como cualquier intento de acceso a archivos sensibles del sistema.

Alcance afectado

Las versiones del plugin LA-Studio Element Kit para Elementor hasta la 1.6.1 están afectadas. No se han confirmado casos en versiones posteriores a la 1.6.2.