Broadcast Live Video <= 7.2.4 - Unauthenticated Arbitrary File Deletion en Videowhisper Live Streaming Integration (vulnerabilidad) - version 7.2.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Broadcast Live Video, que permite la eliminación arbitraria de archivos sin necesidad de autenticación. Esta falla puede comprometer seriamente la integridad del sistema y provocar pérdida de datos.

Contexto técnico

La vulnerabilidad se encuentra en las versiones del plugin Broadcast Live Video hasta la 7.2.4, donde un atacante puede ejecutar comandos maliciosos para eliminar archivos del servidor. La superficie de ataque está relacionada con la falta de autenticación en ciertas funciones del plugin.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la eliminación de archivos críticos puede llevar a la interrupción del servicio y a la pérdida de datos importantes. Además, la explotación de esta vulnerabilidad podría afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz del plugin, lo que les permite eliminar archivos sin necesidad de estar autenticados.

Mitigación recomendada

Actualizar el plugin a la versión 7.2.5 o superior para corregir la vulnerabilidad. Revisar los permisos de archivo y las configuraciones del servidor para limitar el acceso no autorizado. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de actividad inusual.

Señales de detección

Señales de actividad sospechosa en los logs del servidor, como intentos de eliminación de archivos en directorios críticos sin autenticación previa.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.2.5 del plugin Broadcast Live Video. No se han reportado casos en versiones posteriores.