YML for Yandex Market < 5.3.0 - Authenticated (Shop Manager+) Arbitrary File Deletion (vulnerabilidad)

Resumen ejecutivo

La extensión YML for Yandex Market, versiones anteriores a 5.3.0, presenta una vulnerabilidad que permite el borrado arbitrario de archivos por usuarios autenticados con rol de Shop Manager. Esta brecha puede comprometer la integridad de los datos y la operativa del sitio web.

Contexto técnico

El fallo se origina en la gestión inadecuada de permisos para usuarios autenticados, permitiendo que Shop Managers eliminen archivos sin restricciones. La superficie de ataque se centra en la funcionalidad de gestión de archivos de la extensión, que no valida correctamente los permisos de acceso.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de archivos críticos, afectando la operativa del negocio y la confianza del cliente. Aunque la severidad se clasifica como media, el impacto puede ser significativo dependiendo de la sensibilidad de los datos eliminados.

Vector de explotación

La explotación se realiza mediante la autenticación como Shop Manager, seguido de la ejecución de comandos para eliminar archivos específicos del servidor.

Mitigación recomendada

Actualizar el plugin YML for Yandex Market a la versión 5.3.0 o superior. Revisar y ajustar los permisos de usuario para limitar el acceso a funciones críticas. Implementar copias de seguridad regulares para mitigar la pérdida de datos.

Señales de detección

Revisar los logs de actividad para detectar intentos inusuales de eliminación de archivos por parte de usuarios autenticados. Configuraciones de permisos que no se alineen con las políticas de seguridad esperadas también son indicativas.

Alcance afectado

Versiones del plugin YML for Yandex Market anteriores a la 5.3.0 están afectadas. No se han reportado casos de explotación en versiones posteriores.