WordPress Core < 3.4.2 - Missing Authorization Checks on create_post

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el núcleo de WordPress, específicamente en versiones anteriores a la 3.4.2. Esta vulnerabilidad se relaciona con la falta de controles de autorización al crear publicaciones.

Contexto técnico

El fallo se origina en la ausencia de verificaciones adecuadas de autorización en la función de creación de publicaciones, lo que permite a usuarios no autenticados potencialmente crear contenido sin los permisos necesarios. Esto representa una superficie de ataque que puede ser aprovechada por atacantes para generar contenido malicioso.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la creación de publicaciones no autorizadas, lo que podría llevar a la difusión de contenido dañino o spam, afectando la reputación del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas a la API de WordPress para crear publicaciones sin autenticación, aprovechando la falta de controles en la verificación de permisos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar WordPress a la versión 3.4.2 o superior. Además, se puede implementar un control adicional sobre quién tiene permiso para crear publicaciones mediante la configuración de roles y capacidades adecuadas.

Señales de detección

Señales de riesgo incluyen la aparición de publicaciones sospechosas o no autorizadas en el sitio, así como un aumento inusual en las peticiones a la API de creación de publicaciones.

Alcance afectado

La vulnerabilidad afecta a todas las versiones de WordPress anteriores a la 3.4.2, lo que incluye una amplia gama de instalaciones que aún no han sido actualizadas.