Fuente base de datos: Wordfence Intelligence

All-In-One Security <= 5.1.2 - Information Disclosure en ALL IN ONE WP Security AND Firewall (divulgacion de informacion) - version 5.1.3

PLUGIN MEDIUM CVE-2022-4346

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin All-In-One Security en versiones anteriores a la 5.1.3. Esta vulnerabilidad, catalogada con una severidad media, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad permite a un atacante acceder a información sensible que debería estar protegida. Esto ocurre debido a una configuración inadecuada en el plugin, lo que amplía la superficie de ataque al exponer datos que pueden ser utilizados para realizar ataques más dirigidos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que la divulgación de información puede facilitar a un atacante la planificación de un ataque más complejo, comprometiendo así la integridad y confidencialidad de los datos de la organización.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes específicas al plugin, lo que les permite acceder a información que normalmente no deberían poder ver. Este tipo de ataque no requiere un acceso previo al sistema, lo que lo hace aún más peligroso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin All-In-One Security a la versión 5.1.3 o superior. Además, se sugiere revisar la configuración del plugin y aplicar buenas prácticas de seguridad para proteger la información sensible.

Señales de detección

Se deben monitorizar los registros de acceso en busca de solicitudes inusuales que intenten acceder a información sensible. También es recomendable implementar herramientas de seguridad que alerten sobre posibles intentos de explotación.

Alcance afectado

Las versiones del plugin All-In-One Security anteriores a la 5.1.3 son las que se encuentran afectadas por esta vulnerabilidad. Esto incluye todas las instalaciones que no han sido actualizadas desde la publicación de la versión afectada.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

appointment-booking-calendar

Appointment Booking Calendar <= 1.4.02 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure

MEDIUM PLUGIN

revslider

Slider Revolution 7.0 - 7.0.10 - Authenticated (Subscriber+) Sensitive Information Disclosure

MEDIUM PLUGIN

alba-board

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter

MEDIUM PLUGIN

feedzy-rss-feeds

RSS Aggregator by Feedzy <= 5.1.7 - Missing Authorization to Authenticated (Contributor+) Import Job Creation, Execution, Purge, Log Clearing, and Information Disclosure via Multiple AJAX Sub-Actions

MEDIUM PLUGIN

page-list

Page-list <= 6.2 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode Attributes

HIGH PLUGIN

all-in-one-wp-security-and-firewall

All-In-One Security (AIOS) <= 5.4.7 - Unauthenticated Stored Cross-Site Scripting via REST API Request Path

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.1.0 - Authenticated (Contributor+) Information Disclosure

MEDIUM PLUGIN

soliloquy-lite

Slider by Soliloquy <= 2.8.1 - Authenticated (Subscriber+) Information Disclosure via REST API Endpoint

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto