Frontend File Manager Plugin <= 23.6 - Authenticated (Subscriber+) Arbitrary File Deletion en Nmedia User File Uploader (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Frontend File Manager de NMedia, que permite a usuarios autenticados con rol de suscriptor eliminar archivos arbitrariamente. Esta falla puede comprometer la integridad de los datos y la operativa del sitio web.

Contexto técnico

La vulnerabilidad se presenta en versiones del plugin hasta la 23.6. Se explota a través de solicitudes autenticadas que no validan adecuadamente los permisos de usuario, permitiendo la eliminación de archivos en el servidor.

Impacto potencial

La eliminación no autorizada de archivos puede resultar en la pérdida de datos importantes y afectar la funcionalidad del sitio, lo que podría traducirse en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Normalmente se explota mediante la manipulación de solicitudes HTTP por parte de usuarios autenticados que tienen acceso al panel de control del plugin.

Mitigación recomendada

Actualizar el plugin NMedia File Uploader a la versión 23.6 o superior. Revisar los permisos de usuario y roles asignados para limitar el acceso a funciones críticas. Realizar copias de seguridad periódicas para prevenir la pérdida de datos.

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales de eliminación de archivos por parte de usuarios con rol de suscriptor.

Alcance afectado

Afecta a todas las instalaciones del plugin Frontend File Manager de NMedia hasta la versión 23.6. No se han reportado casos de explotación en versiones posteriores.