Kali Forms — Contact Form & Drag-and-Drop Builder <= 2.4.18 - Authenticated (Subscriber+) Arbitrary File Deletion (vulnerabilidad) - version 2.4.19

Resumen ejecutivo

Se ha detectado una vulnerabilidad crítica en el plugin Kali Forms (versiones hasta 2.4.18) que permite la eliminación arbitraria de archivos por usuarios autenticados con rol de suscriptor o superior. Esta falla podría comprometer la integridad de los archivos del servidor, afectando la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que Kali Forms gestiona las solicitudes de eliminación de archivos, permitiendo a usuarios autenticados con permisos insuficientes ejecutar acciones no autorizadas. La superficie de ataque se centra en la interacción con el sistema de archivos del servidor a través de solicitudes HTTP maliciosas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar archivos críticos del servidor, lo que podría resultar en pérdida de datos, interrupción del servicio y daños a la reputación del negocio. La severidad de la vulnerabilidad está clasificada como alta, con un CVSS de 8.1.

Vector de explotación

La explotación típicamente se realiza a través de solicitudes HTTP manipuladas que intentan acceder a funciones de eliminación de archivos sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Kali Forms a la versión 2.4.19 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario en el sitio para asegurarse de que solo los roles adecuados tengan acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para filtrar solicitudes maliciosas.

Señales de detección

Señales de riesgo incluyen registros de acceso que muestren intentos inusuales de eliminación de archivos por parte de usuarios autenticados o cambios inesperados en la estructura de archivos del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones de Kali Forms hasta la 2.4.18. No se han confirmado otros escenarios de explotación fuera de este contexto.