Advanced Custom Fields <= 5.10 - Missing Authorization to Information Disclosure

Resumen ejecutivo

Se ha detectado una vulnerabilidad de divulgación de información en el plugin Advanced Custom Fields, afectando a versiones hasta la 5.10. Esta vulnerabilidad permite la exposición no autorizada de información sensible.

Contexto técnico

El fallo se origina en la falta de autorización adecuada en ciertas funciones del plugin, lo que permite a usuarios no autenticados acceder a datos que deberían estar protegidos. Esto amplía la superficie de ataque, especialmente en sitios donde se utilizan campos personalizados.

Impacto potencial

El impacto potencial incluye la divulgación de información sensible que podría comprometer la seguridad del sitio y la privacidad de los usuarios. Esto podría llevar a ataques adicionales, como el phishing o la suplantación de identidad, afectando la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes específicas a las funciones afectadas del plugin, lo que les permite recuperar información sensible sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Advanced Custom Fields a la versión 5.11 o superior es esencial para mitigar esta vulnerabilidad. También se recomienda revisar las configuraciones de acceso y aplicar prácticas de hardening en el sitio web.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a información sensible en los registros del servidor y patrones inusuales de tráfico que intentan acceder a las funciones del plugin.

Alcance afectado

Las versiones del plugin Advanced Custom Fields desde su lanzamiento hasta la 5.10 son vulnerables. Se aconseja a todos los usuarios de estas versiones que realicen la actualización de inmediato.