CVE-2022-0320

Essential Addons for Elementor no valida ni sanea ciertos datos de plantilla antes de usarlos en sentencias include, lo que permite a un atacante no autenticado realizar local file inclusion y leer archivos arbitrarios del servidor. La descripción es explícita en que esto no necesariamente se detiene en las lecturas de archivos: el LFI aquí puede escalar a ejecución remota de código a través de archivos subidos por el usuario o las técnicas habituales de LFI a RCE. Así que el piso es la divulgación de archivos arbitrarios (piensa en wp-config.php y sus credenciales de base de datos) y el techo es la ejecución de código.

Esta es una combinación de exposición máxima: un plugin de WordPress enormemente popular, sin autenticación, y una ruta que lee archivos sensibles o algo peor. Ese es precisamente el perfil que las botnets de rastreo masivo priorizan, y el tráfico de prueba de concepto para fallos no autenticados de plugins populares típicamente llega en cuestión de días, martillando cada instalación accesible sin importar quién la ejecute. Incluso usado solo para lecturas de archivos, filtrar wp-config.php entrega la base de datos y efectivamente el sitio; encadenado a RCE es un compromiso completo del servidor. El techo de versión, anterior a 5.0.5, es toda la defensa.

Los plugins de WordPress son el software más difícil de inventariar —instalados por sitio, a menudo por propietarios no técnicos, casi nunca rastreados centralmente— así que nuestro trabajo no es leer el aviso, es responder cuáles de los sitios que tocamos realmente ejecutan Essential Addons for Elementor, en qué versión, y si la ruta vulnerable es accesible desde internet. Esa intersección reduce un titular alarmante a una lista de parches corta y clasificada. Cualquier cosa expuesta y por debajo de 5.0.5 la tratamos como potencialmente ya leída, lo que significa rotación de credenciales, no solo aplicación de parches.