Fontiran <= 2.1 - Missing Authorization via fi_add_rule and fi_delete_webfont_php

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Fontiran, que afecta a las versiones hasta la 2.1. Esta vulnerabilidad permite a usuarios no autorizados realizar acciones críticas en el sistema.

Contexto técnico

La vulnerabilidad se manifiesta en las funciones fi_add_rule y fi_delete_webfont_php, donde no se implementan controles de autorización adecuados. Esto permite a un atacante potencial manipular reglas y eliminar fuentes web sin la debida autorización.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría modificar configuraciones del plugin o eliminar recursos críticos, lo que podría afectar la funcionalidad del sitio web y comprometer la seguridad general del mismo.

Vector de explotación

La explotación se puede realizar mediante la ejecución de solicitudes maliciosas a las funciones vulnerables, aprovechando la falta de verificación de permisos.

Mitigación recomendada

Se recomienda actualizar el plugin Fontiran a la versión 2.1 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de seguridad adicionales en la gestión de plugins.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales a las funciones fi_add_rule y fi_delete_webfont_php, así como cambios inesperados en las configuraciones del plugin.

Alcance afectado

Las versiones del plugin Fontiran hasta la 2.1 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que no hayan sido actualizadas desde su publicación en febrero de 2023.