Multi Step Form <= 1.7.21 - Missing Authorization via fw_delete_files

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Multi Step Form, que afecta a las versiones hasta la 1.7.21. Esta falla permite la eliminación de archivos sin la debida autorización, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en la función fw_delete_files del plugin. Esto permite a usuarios no autorizados realizar acciones que deberían estar restringidas, afectando la integridad de los archivos del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante elimine archivos críticos del sistema, lo que podría resultar en la pérdida de datos, interrupciones en el servicio y un daño a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad típicamente se realiza mediante el envío de solicitudes maliciosas que invocan la función vulnerable sin la debida autorización, permitiendo la eliminación de archivos arbitrarios.

Mitigación recomendada

Se recomienda actualizar el plugin Multi Step Form a la versión 1.7.22 o superior para mitigar la vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de seguridad adicionales en la gestión de archivos.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en la eliminación de archivos o intentos de acceso a funciones restringidas del plugin por parte de usuarios no autorizados.

Alcance afectado

Las versiones del plugin Multi Step Form hasta la 1.7.21 están afectadas por esta vulnerabilidad, por lo que es crucial verificar la versión instalada en los sitios web.