Kallyas <= 4.21.0 - Authenticated (Contributor+) Arbitrary Folder Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema Kallyas, que permite a usuarios autenticados con rol de Contribuyente o superior eliminar carpetas arbitrariamente. Esta falla afecta a las versiones hasta la 4.21.0 y se ha corregido en la versión 4.22.0.

Contexto técnico

La vulnerabilidad se encuentra en la gestión de permisos del tema Kallyas, donde la validación inadecuada de las solicitudes permite a los usuarios con privilegios insuficientes realizar operaciones de eliminación de carpetas en el servidor.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos críticos y comprometer la integridad del sitio web, lo que podría afectar la reputación y la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la autenticación de un usuario con permisos de Contribuyente o superior, quien envía solicitudes maliciosas para eliminar carpetas sin la debida autorización.

Mitigación recomendada

Actualizar el tema Kallyas a la versión 4.22.0 o posterior. Además, se recomienda revisar y ajustar los permisos de usuario para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen registros de eliminación de carpetas inusuales o no autorizadas, así como intentos de acceso a funciones administrativas por parte de usuarios con privilegios bajos.

Alcance afectado

Las versiones del tema Kallyas hasta la 4.21.0 están afectadas, por lo que todas las instalaciones que utilicen estas versiones son vulnerables.