Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary File Write (Zip Slip) (inclusion local de archivos (LFI)) - version 6.1.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Kirki, que permite a usuarios autenticados con rol de Editor+ realizar un Path Traversal, lo que puede resultar en la escritura de archivos arbitrarios. Esta falla, clasificada como de severidad media, puede comprometer la integridad de los archivos del servidor y afectar la operativa del sitio web.

Contexto técnico

La vulnerabilidad se presenta en versiones de Kirki hasta la 6.0.13, permitiendo a usuarios autenticados manipular rutas de archivos. El vector de ataque se basa en la capacidad de los usuarios para enviar solicitudes manipuladas que pueden acceder a archivos del sistema, facilitando así la escritura de contenido no autorizado.

Impacto potencial

El impacto en la seguridad del negocio puede ser significativo, ya que la escritura de archivos arbitrarios puede llevar a la ejecución de código malicioso o a la alteración de configuraciones críticas del sitio. Esto podría resultar en la pérdida de datos, interrupciones del servicio y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones HTTP manipuladas a través de formularios o interfaces administrativas, permitiendo el acceso no autorizado a archivos en el servidor.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.1.0 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a funciones críticas solo a roles necesarios. Implementar medidas de seguridad adicionales como firewalls y monitoreo de logs para detectar actividades sospechosas.

Señales de detección

Señales a observar incluyen intentos de acceso a rutas de archivos inusuales en los logs de acceso, así como cambios inesperados en archivos del sistema.

Alcance afectado

Las versiones afectadas son Kirki hasta la 6.0.13. No se han reportado casos de explotación en versiones posteriores a la 6.1.0.