Kali Forms <= 2.4.16 - Missing Authorization to Unauthenticated Media File Upload (subida arbitraria de archivos) - version 2.4.17

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Kali Forms (versiones hasta 2.4.16) que permite la subida de archivos multimedia sin autorización. Esto puede comprometer la seguridad del sitio y la integridad de los datos operativos.

Contexto técnico

El fallo se origina en un bypass de autorización que permite a usuarios no autenticados subir archivos multimedia al servidor. La superficie de ataque se centra en formularios que no implementan correctamente las restricciones de acceso.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la carga de contenido malicioso, afectando la reputación del sitio y exponiendo datos sensibles. Además, puede facilitar ataques posteriores como la ejecución remota de código.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a los formularios afectados, eludiendo así las comprobaciones de autorización.

Mitigación recomendada

Actualizar el plugin Kali Forms a la versión 2.4.17 o superior. Revisar la configuración de permisos de los formularios para asegurar que solo usuarios autenticados puedan subir archivos. Implementar medidas de validación y sanitización de archivos subidos.

Señales de detección

Monitorear los logs de acceso en busca de solicitudes inusuales a los endpoints de subida de archivos, especialmente de usuarios no autenticados.

Alcance afectado

Las versiones de Kali Forms hasta la 2.4.16 están afectadas. No se han confirmado otros escenarios o plugins relacionados.