AI ChatBot <= 4.4.7 - Missing Authorization on openai_settings_option_callback

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin AI ChatBot, que afecta a las versiones hasta la 4.4.7. Esta vulnerabilidad puede permitir accesos no autorizados a configuraciones sensibles del plugin.

Contexto técnico

El fallo se origina en la falta de controles de autorización en la función 'openai_settings_option_callback', lo que permite a usuarios no autenticados acceder a configuraciones críticas del plugin. Esto representa una superficie de ataque que puede ser explotada fácilmente por atacantes.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante no autenticado modificar configuraciones del plugin, lo que podría comprometer la seguridad del sitio y afectar la integridad de los datos manejados por el chatbot.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante peticiones directas a la función vulnerable, lo que permite a un atacante manipular la configuración del plugin sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin AI ChatBot a la versión 4.4.8 o superior. Además, se sugiere revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening adicionales para proteger las funciones administrativas.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o actividad inusual en los registros de acceso relacionados con el plugin AI ChatBot.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin AI ChatBot hasta la 4.4.7. La versión 4.4.8 ya incluye la corrección necesaria.