Classified Listing – Classified ads & Business Directory Plugin <= 3.0.10.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Attachment Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación arbitraria de archivos en el plugin Classified Listing, que afecta a versiones hasta la 3.0.10.3. Esta falla permite a usuarios autenticados con rol de suscriptor o superior eliminar archivos sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se encuentra en la falta de controles de autorización al gestionar archivos adjuntos. Esto permite a los usuarios autenticados, que deberían tener restricciones, llevar a cabo operaciones de eliminación de archivos en el sistema, comprometiendo la integridad del contenido almacenado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la eliminación no autorizada de archivos, lo que puede resultar en la pérdida de datos críticos y afectar la disponibilidad del servicio. Esto podría dañar la reputación del negocio y generar desconfianza entre los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo al sistema con credenciales de usuario autenticado (suscriptor o superior) y utilizando las funciones de eliminación de archivos del plugin para borrar archivos arbitrarios.

Mitigación recomendada

Se recomienda actualizar el plugin Classified Listing a la versión 3.0.11 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar políticas de acceso más estrictas para limitar las acciones que pueden realizar los suscriptores.

Señales de detección

Se deben monitorizar los registros de actividad del plugin en busca de intentos de eliminación de archivos por parte de usuarios con rol de suscriptor. Cualquier actividad inusual o no autorizada debe ser investigada de inmediato.

Alcance afectado

Las versiones del plugin Classified Listing hasta la 3.0.10.3 son vulnerables. Esto incluye todas las instalaciones que no hayan actualizado a la versión 3.0.11 o posterior desde la fecha de publicación del aviso de seguridad.