Meow Gallery (+ Gallery Block) <= 4.1.9 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Meow Gallery, que permite la actualización no autorizada de opciones arbitrarias. Esta falla afecta a las versiones hasta la 4.1.9 y fue publicada el 2 de septiembre de 2021.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización al actualizar configuraciones del plugin. Esto permite a un atacante modificar opciones sin necesidad de autenticación, lo que puede comprometer la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante alterar configuraciones críticas del plugin, lo que podría resultar en la toma de control del sitio o en la exposición de datos sensibles.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante el envío de solicitudes maliciosas que aprovechan la falta de verificación de permisos en las actualizaciones de opciones del plugin.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Meow Gallery a la versión 4.2.0 o superior. Además, se sugiere revisar las configuraciones de seguridad y aplicar prácticas de hardening en el sitio.

Señales de detección

Las señales de posible explotación incluyen cambios inesperados en las configuraciones del plugin o en el comportamiento del sitio que no han sido autorizados por los administradores.

Alcance afectado

Las versiones afectadas de Meow Gallery son todas las anteriores a la 4.2.0, lo que incluye la 4.1.9 y versiones anteriores.