Hide My WP Lite <= 1.3 - Unauthenticated Path Traversal to Arbitrary File Read via 'he_wrapper_js' Parameter en Hide WP Login (inclusion local de archivos (LFI))

Resumen ejecutivo

La vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin Hide My WP Lite, presente en versiones hasta la 1.3, permite la lectura no autenticada de archivos arbitrarios. Esto puede comprometer la seguridad del sitio al exponer información sensible.

Contexto técnico

El fallo se encuentra en el parámetro 'he_wrapper_js', que permite a un atacante acceder a archivos del sistema sin necesidad de autenticación. La superficie de ataque se presenta a través de solicitudes HTTP manipuladas que explotan la falta de validación adecuada.

Impacto potencial

Si se explota, esta vulnerabilidad puede permitir a un atacante acceder a archivos críticos del servidor, lo que podría resultar en la divulgación de datos sensibles y afectar la integridad del sitio web. Esto puede llevar a un daño reputacional y pérdidas económicas.

Vector de explotación

Los atacantes suelen enviar solicitudes manipuladas al sitio que incluyen rutas de archivos, aprovechando la falta de control en la entrada del parámetro 'he_wrapper_js'.

Mitigación recomendada

Actualizar el plugin Hide My WP Lite a la versión 1.3 o superior. Revisar y ajustar las configuraciones de seguridad del servidor para limitar el acceso a archivos sensibles. Implementar medidas de monitoreo para detectar accesos inusuales a archivos del sistema.

Señales de detección

Revisar los logs de acceso en busca de patrones de solicitudes que incluyan el parámetro 'he_wrapper_js' con rutas sospechosas o no autorizadas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3 del plugin Hide My WP Lite. No se han confirmado casos en versiones posteriores.