Tema WordPress Litho <= 3.0 - Vulnerabilidad de Eliminación Arbitraria de Archivos

La vulnerabilidad de Path Traversal en Litho permite a un atacante, mediante la manipulación de parámetros en las solicitudes HTTP, acceder a archivos arbitrarios en el servidor donde está instalado el tema. Esto podría incluir archivos de configuración, código fuente, o incluso archivos de bases de datos que contengan información confidencial como credenciales de usuario o datos personales. Un atacante podría utilizar esta vulnerabilidad para obtener información sensible, modificar archivos del sistema, o incluso ejecutar código malicioso en el servidor, dependiendo de los permisos del usuario bajo el cual se ejecuta el proceso del servidor web. La severidad de este impacto se agrava si el servidor web está configurado para permitir el acceso público a ciertos directorios.

WordPress websites using the themezaa Litho theme, particularly those running versions 0.0.0 through 3.0, are at risk. Shared hosting environments where users have limited control over theme updates are especially vulnerable. Sites with sensitive data stored on the server are at higher risk of compromise.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/themes/litho/*

• generic web:

curl -I 'http://example.com/wp-content/themes/litho/../../../../etc/passwd'

1. 2025-06-17Disclosure

   disclosure

1. Reservado2025-06-11
2. Publicada2025-06-17
3. Modificada2026-04-28
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar el tema Litho a la versión 3.0.1, donde se ha solucionado el problema. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a los archivos sensibles a través de configuraciones del servidor web (por ejemplo, utilizando .htaccess para denegar el acceso a directorios críticos). Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar las solicitudes maliciosas que intentan explotar la vulnerabilidad. Verifique que los permisos de los archivos y directorios del tema sean lo más restrictivos posible.