BeeTeam368 Extensions Pro <= 2.3.4 - Authenticated (Subscriber+) Directory Traversal to Arbitrary File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin BeeTeam368 Extensions Pro, que permite la eliminación arbitraria de archivos a través de un recorrido de directorio. Esta falla afecta a las versiones anteriores a la 2.3.5 y tiene un alto nivel de severidad con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se clasifica como Local File Inclusion (LFI), permitiendo a usuarios autenticados con rol de suscriptor o superior acceder a archivos del sistema que no deberían estar disponibles. Esto se logra mediante la manipulación de rutas de archivo en las peticiones al servidor.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que podría permitir a un atacante eliminar archivos críticos del servidor, comprometiendo la integridad del sitio web y afectando su disponibilidad. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que manipulan las rutas de archivo, permitiendo la eliminación de archivos del sistema. Esto requiere que el atacante tenga acceso autenticado como suscriptor o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.3.5 o superior. Además, se deben revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del servidor para limitar el acceso a archivos sensibles.

Señales de detección

Señales de posible explotación incluyen registros de acceso que muestran intentos de eliminación de archivos o solicitudes que intentan acceder a rutas no autorizadas. Monitorear estos registros puede ayudar a identificar actividades sospechosas.

Alcance afectado

Las versiones del plugin BeeTeam368 Extensions Pro hasta la 2.3.4 están afectadas. Es crucial que todas las instalaciones que utilicen este plugin realicen la actualización correspondiente.