WordPress Core < 6.0.3 - Authenticated Information Disclosure via REST-API

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información autenticada en el núcleo de WordPress, que afecta a versiones anteriores a la 6.0.3. Este fallo permite a usuarios autenticados acceder a información sensible a través de la REST-API.

Contexto técnico

La vulnerabilidad se encuentra en la REST-API de WordPress, que permite a los desarrolladores interactuar con el sistema de manera programática. Al no gestionar adecuadamente las solicitudes, se puede filtrar información que debería estar protegida, permitiendo a un atacante autenticado obtener datos que no debería poder ver.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios malintencionados obtener información sensible que podría ser utilizada para ataques adicionales. Esto podría comprometer la seguridad de la instalación y la privacidad de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la ejecución de solicitudes a la REST-API por parte de un usuario autenticado, que puede manipular los parámetros para acceder a información no autorizada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar a la versión 6.0.3 o superior de WordPress. Además, se sugiere revisar los permisos de usuario y aplicar políticas de acceso más estrictas en la REST-API.

Señales de detección

Se pueden detectar intentos de explotación mediante el análisis de registros de acceso a la REST-API y la identificación de patrones inusuales en las solicitudes realizadas por usuarios autenticados.

Alcance afectado

Las versiones de WordPress anteriores a la 6.0.3 son las que se ven afectadas por esta vulnerabilidad. Es crucial que todas las instalaciones que utilicen versiones anteriores sean actualizadas.