Maxi Blocks <= 2.1.8 - Missing Authorization to Authenticated (Author+) Media File Deletion via 'old_media_src' Parameter (falta de autorizacion) - version 2.1.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Maxi Blocks (versiones <= 2.1.8) que permite la eliminación no autorizada de archivos multimedia por usuarios autenticados. Esta falla puede comprometer la integridad de los contenidos del sitio, afectando su operativa.

Contexto técnico

La vulnerabilidad se encuentra en el manejo del parámetro 'old_media_src', el cual permite a usuarios con permisos de autor eliminar archivos multimedia sin la autorización adecuada. Esto representa un vector de ataque que puede ser explotado por cualquier usuario autenticado con privilegios de autor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la eliminación de archivos multimedia, lo que puede resultar en la pérdida de contenido crítico y afectar la experiencia del usuario. Además, puede comprometer la confianza en la plataforma si se utilizan estos archivos en contextos comerciales.

Vector de explotación

La explotación se realiza mediante la manipulación del parámetro 'old_media_src' en solicitudes HTTP, permitiendo a los atacantes eliminar archivos multimedia sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Maxi Blocks a la versión 2.1.9 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario en el sitio para limitar el acceso a funciones críticas. Implementar un sistema de copias de seguridad regular para restaurar contenido en caso de eliminación no autorizada.

Señales de detección

Monitorear los logs de acceso para detectar solicitudes inusuales que impliquen la eliminación de archivos multimedia, especialmente aquellas que utilizan el parámetro 'old_media_src'.

Alcance afectado

Las versiones afectadas son Maxi Blocks hasta la 2.1.8. La versión 2.1.9 y posteriores no presentan esta vulnerabilidad. No se han confirmado otros escenarios de explotación fuera de los usuarios autenticados con permisos de autor.