Royal Elementor Addons <= 1.3.59 - Insufficient Access Control to Plugin Deactivation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de control de acceso insuficiente en el plugin Royal Elementor Addons, que permite la desactivación del plugin por usuarios no autorizados. Esta falla afecta a versiones anteriores a la 1.3.60 y tiene una severidad media.

Contexto técnico

La vulnerabilidad se clasifica como un problema de escalación de privilegios (privesc), donde los usuarios con permisos limitados pueden desactivar el plugin sin la autorización adecuada. Esto se debe a una falta de validación en los controles de acceso del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante desactivar funciones críticas del sitio, lo que podría comprometer la integridad y disponibilidad del mismo. Esto podría traducirse en pérdidas económicas y de reputación para el negocio afectado.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al panel de administración con credenciales de usuario con permisos limitados y ejecutando acciones no autorizadas para desactivar el plugin.

Mitigación recomendada

Se recomienda actualizar el plugin Royal Elementor Addons a la versión 1.3.60 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar y ajustar los permisos de usuario para evitar accesos no autorizados.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o en su estado de activación, además de auditorías de acceso que muestren intentos de desactivación por parte de usuarios no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Royal Elementor Addons anteriores a la 1.3.60.