Advanced Custom Fields <= 6.0.2 - Authenticated (Contributor+) Information Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Advanced Custom Fields, que afecta a las versiones hasta la 6.0.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior acceder a información sensible.

Contexto técnico

La vulnerabilidad se clasifica como una divulgación de información, lo que implica que los atacantes pueden obtener datos que no deberían ser accesibles para su rol. La superficie de ataque se centra en las funcionalidades del plugin que gestionan campos personalizados, donde la configuración inadecuada puede permitir el acceso no autorizado a información crítica.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a información sensible que podría comprometer la integridad de la instalación de WordPress y la privacidad de los datos. Esto podría resultar en daños a la reputación de la empresa y posibles implicaciones legales.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad accediendo a la instalación de WordPress con credenciales de usuario autenticadas que tienen un rol de colaborador o superior, y mediante el uso de peticiones específicas pueden obtener información que no deberían poder ver.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Custom Fields a la versión 6.0.3 o superior. Además, se sugiere revisar los permisos de usuario y aplicar principios de menor privilegio para limitar el acceso a datos sensibles.

Señales de detección

Las señales de posible explotación incluyen accesos inusuales a áreas del plugin por parte de usuarios con roles de bajo privilegio, así como registros de acceso donde se intenten recuperar datos que normalmente no deberían estar disponibles para esos roles.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.0.3 del plugin Advanced Custom Fields, por lo que todas las instalaciones que utilicen estas versiones están en riesgo.