Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via 'family' Parameter (inclusion local de archivos (LFI)) - version 6.0.14

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo path traversal en el plugin Kirki, que permite la eliminación arbitraria de directorios a través del parámetro 'family'. Esta falla, con una severidad media, puede comprometer la integridad del sistema operativo y los datos del sitio web.

Contexto técnico

La vulnerabilidad se presenta en versiones de Kirki hasta la 6.0.13, permitiendo a usuarios autenticados con rol de Editor o superior acceder a rutas del sistema de archivos. Esto se produce al manipular el parámetro 'family', facilitando la eliminación de directorios no autorizados.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de archivos críticos y afectar la disponibilidad del sitio. A nivel de negocio, esto puede traducirse en interrupciones operativas y pérdida de confianza por parte de los usuarios.

Vector de explotación

El ataque se lleva a cabo mediante la manipulación del parámetro 'family' en solicitudes autenticadas, lo que permite a un atacante eliminar directorios arbitrarios.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.0.14 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de control de acceso más estrictas para usuarios con rol de Editor o superior.

Señales de detección

Monitorear logs para detectar accesos inusuales o solicitudes que modifiquen el parámetro 'family'.

Alcance afectado

Las versiones de Kirki hasta la 6.0.13 son vulnerables. La versión 6.0.14 y posteriores han sido corregidas. No se han confirmado otros escenarios de explotación fuera de los descritos.