NewsPlus Shortcodes <= 4.2.0 - Authenticated (Contributor+) Local File Inclusion (inclusion local de archivos (LFI))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin NewsPlus Shortcodes, afectando a versiones hasta la 4.2.0. Este fallo permite a usuarios autenticados con rol de contribuyente o superior acceder a archivos del sistema, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona las solicitudes de archivos, permitiendo a usuarios con privilegios adecuados manipular rutas de archivo. Esto expone la superficie de ataque a usuarios autenticados que pueden ejecutar comandos maliciosos.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que un atacante podría acceder a información sensible del servidor, lo que podría llevar a la explotación de otras vulnerabilidades o a la obtención de datos críticos. Esto puede resultar en daños a la reputación y pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en las solicitudes del plugin, permitiendo que un usuario autenticado cargue archivos no autorizados desde el servidor.

Mitigación recomendada

Actualizar el plugin NewsPlus Shortcodes a la versión 4.2.0 o superior. Revisar los registros de acceso para detectar actividades inusuales relacionadas con el acceso a archivos. Aplicar controles de acceso adicionales para limitar las acciones de los usuarios con permisos de contribuyente.

Señales de detección

Señales de riesgo incluyen registros de acceso que muestran intentos de carga de archivos inusuales o errores relacionados con la inclusión de archivos en el sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.2.0 del plugin NewsPlus Shortcodes. No se han reportado casos en versiones posteriores.