WPML <= 4.5.10 - Missing Authorization to Translation Job Status Change

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WPML (SitePress Multilingual CMS) que permite cambios no autorizados en el estado de trabajos de traducción. Esta vulnerabilidad, catalogada con una severidad media, afecta a versiones anteriores a la 4.5.11.

Contexto técnico

El fallo se origina en la falta de autorización adecuada al modificar el estado de los trabajos de traducción, lo que permite a usuarios no autorizados realizar cambios en el sistema. La superficie de ataque se centra en las funciones que gestionan el estado de las traducciones.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante manipular el contenido traducido, lo que podría comprometer la integridad del sitio y afectar la confianza de los usuarios. Esto puede resultar en daños a la reputación de la empresa y pérdidas económicas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, alterando el estado de los trabajos de traducción sin la debida autorización.

Mitigación recomendada

Actualizar el plugin WPML a la versión 4.5.11 o superior. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar medidas de seguridad adicionales en la gestión de traducciones.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en el estado de los trabajos de traducción y registros de acceso no autorizados en el sistema de gestión de traducciones.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.5.11 del plugin WPML, publicado antes del 9 de noviembre de 2022.