Mega Addons For WPBakery Page Builder <= 4.3.0 - Authenticated (Subscriber+) Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de alta gravedad en el plugin 'Mega Addons For WPBakery Page Builder' hasta la versión 4.3.0, que permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones en la configuración del plugin. Esta vulnerabilidad puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de actualización de configuraciones del plugin, donde los usuarios autenticados pueden modificar ajustes sin las debidas restricciones de permisos. Esto se traduce en una superficie de ataque que puede ser explotada por usuarios que no deberían tener acceso a estas configuraciones.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite a un atacante con acceso limitado realizar cambios que podrían afectar la integridad y la disponibilidad del sitio web. Esto podría llevar a una escalada de privilegios o a la inyección de contenido malicioso.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo a través del acceso a la interfaz de configuración del plugin por parte de un usuario autenticado con rol de suscriptor o superior, permitiéndole realizar cambios no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.3.0 o superior. Además, es aconsejable revisar los permisos de los usuarios y restringir el acceso a la configuración del plugin a roles que realmente lo necesiten.

Señales de detección

Las señales para detectar posibles intentos de explotación incluyen cambios no autorizados en la configuración del plugin y accesos inusuales a la interfaz de administración por parte de usuarios con roles bajos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.3.0 del plugin 'Mega Addons For WPBakery Page Builder'.