Icons Factory <= 1.6.12 - Missing Authorization to Unauthenticated Arbitrary File Deletion via delete_files() Function (falta de autorizacion)

Resumen ejecutivo

La vulnerabilidad crítica en el plugin Icons Factory permite la eliminación arbitraria de archivos sin autenticación, afectando a versiones hasta la 1.6.12. Esta falla de autorización puede ser explotada por atacantes para comprometer la integridad del sitio web.

Contexto técnico

El fallo se encuentra en la función delete_files(), donde no se implementan adecuadamente las verificaciones de autorización. Esto permite a un usuario no autenticado realizar solicitudes que resulten en la eliminación de archivos del servidor, exponiendo el sistema a riesgos significativos.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de datos críticos y a la interrupción del servicio, afectando la reputación de la empresa y generando posibles pérdidas económicas. Además, puede facilitar ataques adicionales si se eliminan archivos esenciales del sistema.

Vector de explotación

Los atacantes pueden enviar solicitudes directas a la función delete_files() del plugin sin necesidad de autenticación, lo que les permite eliminar archivos arbitrarios del servidor.

Mitigación recomendada

Actualizar el plugin Icons Factory a la versión 1.6.12 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la restricción de acceso a funciones críticas y la revisión de permisos de usuario.

Señales de detección

Monitorear registros de acceso en busca de solicitudes inusuales a la función delete_files() y verificar la eliminación de archivos no autorizados en el servidor.

Alcance afectado

Todas las instalaciones de Icons Factory hasta la versión 1.6.12 son vulnerables a este fallo.