Paid Videochat Turnkey Site – HTML5 PPV Live Webcams <= 7.4.8 - Authenticated (Performer+) Arbitrary File Deletion (vulnerabilidad) - version 7.4.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin PPV Live Webcams que permite la eliminación arbitraria de archivos por parte de usuarios autenticados. Esta brecha puede comprometer la integridad del sistema y la disponibilidad de datos operativos.

Contexto técnico

La vulnerabilidad se encuentra en el plugin PPV Live Webcams, versiones hasta la 7.4.8. Los atacantes autenticados, específicamente los que tienen el rol de Performer+, pueden aprovechar esta falla para eliminar archivos del servidor, afectando la funcionalidad del sitio.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la eliminación de archivos críticos puede interrumpir servicios y afectar la confianza de los usuarios. Además, la pérdida de datos puede conllevar a problemas legales y de cumplimiento normativo.

Vector de explotación

La explotación se realiza mediante la autenticación de un usuario con privilegios adecuados que utiliza funciones del plugin para eliminar archivos sin restricciones adecuadas.

Mitigación recomendada

Actualizar el plugin PPV Live Webcams a la versión 7.4.9 o superior. Revisar y restringir los permisos de usuario para el rol de Performer+. Realizar auditorías de seguridad periódicas para detectar posibles accesos no autorizados.

Señales de detección

Monitorizar los registros de acceso y eliminación de archivos en el servidor para identificar actividades sospechosas relacionadas con el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.4.9. No se han reportado casos de explotación en versiones posteriores.