Bookly <= 21.7.1 - Arbitrary File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación arbitraria de archivos en el plugin Bookly, afectando a versiones hasta la 21.7.1. Esta falla, con una puntuación CVSS de 8.1, presenta un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad permite a un atacante eliminar archivos arbitrarios en el servidor donde está instalado el plugin. Esto se debe a una validación insuficiente de las rutas de los archivos, lo que expone la superficie de ataque a manipulaciones maliciosas.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos críticos y la interrupción del servicio, afectando la integridad y disponibilidad del negocio. Además, podría facilitar el acceso no autorizado a información sensible.

Vector de explotación

Generalmente, los atacantes pueden explotar esta vulnerabilidad mediante la manipulación de solicitudes HTTP que no son adecuadamente validadas, lo que les permite especificar archivos que desean eliminar.

Mitigación recomendada

Actualizar el plugin Bookly a la versión 21.8 o superior es fundamental para mitigar esta vulnerabilidad. Además, se recomienda realizar auditorías de seguridad periódicas y aplicar buenas prácticas de hardening en el servidor.

Señales de detección

Se deben monitorizar los registros de acceso y error del servidor en busca de patrones inusuales que indiquen intentos de eliminación de archivos. Alertas sobre cambios inesperados en la estructura de archivos también son indicativas de riesgo.

Alcance afectado

Las versiones del plugin Bookly anteriores a la 21.8 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 11 de mayo de 2023.