Wicked Folders <= 2.18.16 - Missing Authorization on ajax_save_folder

Resumen ejecutivo

La vulnerabilidad CVE-2023-0718 afecta al plugin Wicked Folders en versiones hasta la 2.18.16, permitiendo la falta de autorización en la función ajax_save_folder. Esto puede facilitar accesos no autorizados a la gestión de carpetas.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados en la función ajax_save_folder del plugin Wicked Folders. Esto permite que usuarios no autenticados puedan realizar acciones que deberían estar restringidas, comprometiendo la seguridad del sistema.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante pueda manipular la estructura de carpetas del sitio, lo que puede llevar a la exposición de datos sensibles o a la alteración del contenido del sitio, afectando la integridad y la confianza del negocio.

Vector de explotación

La explotación de esta vulnerabilidad puede ocurrir mediante el envío de solicitudes AJAX maliciosas a la función vulnerable, permitiendo que un atacante no autenticado realice cambios en las carpetas sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Wicked Folders a la versión 2.18.17 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad adicionales para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual en la gestión de carpetas, como cambios realizados por usuarios no autorizados o intentos de acceso a funciones AJAX sin la debida autenticación.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Wicked Folders hasta la 2.18.16. Los usuarios deben verificar sus instalaciones y aplicar las actualizaciones necesarias.