Dashicons + Custom Post Types <= 1.0.2 - Missing Authorization

Resumen ejecutivo

La vulnerabilidad CVE-2023-22674 afecta a la extensión Dashicons + Custom Post Types en versiones hasta la 1.0.2, permitiendo la falta de autorización en ciertas acciones. Este fallo de seguridad tiene una severidad alta, con un CVSS de 8.8.

Contexto técnico

El problema radica en la falta de controles de autorización adecuados en la gestión de tipos de publicaciones personalizadas. Esto permite a usuarios no autorizados realizar acciones que deberían estar restringidas, comprometiendo la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas, lo que podría resultar en la alteración de datos o en la ejecución de acciones maliciosas dentro del sitio web. Esto puede afectar tanto la reputación del negocio como la seguridad de los datos de los usuarios.

Vector de explotación

Generalmente, los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz de usuario, lo que les permite eludir las restricciones de autorización.

Mitigación recomendada

Actualizar el plugin Dashicons + Custom Post Types a la versión 1.0.2 o superior para corregir la vulnerabilidad. Además, se recomienda revisar y reforzar las políticas de autorización en el sitio.

Señales de detección

Señales de riesgo incluyen actividad sospechosa en las funciones relacionadas con tipos de publicaciones personalizadas y accesos no autorizados a áreas restringidas del panel de administración.

Alcance afectado

Las versiones del plugin Dashicons + Custom Post Types hasta la 1.0.2 son las afectadas por esta vulnerabilidad. Se debe verificar la instalación de cualquier versión anterior.