DX Delete Attached Media <= 2.0.2 - Missing Authorization to Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin DX Delete Attached Media, que podría permitir a usuarios no autorizados modificar la configuración del plugin. Esta falla afecta a las versiones hasta la 2.0.2 y se ha corregido en la versión 2.0.3.

Contexto técnico

El fallo se produce debido a la falta de controles adecuados de autorización en la actualización de la configuración del plugin. Esto permite que un atacante con acceso no autorizado pueda realizar cambios en la configuración sin las debidas credenciales.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante modifique configuraciones críticas del plugin, lo que podría comprometer la integridad de los medios adjuntos y afectar la funcionalidad del sitio web. Esto puede derivar en pérdida de datos o exposición no intencionada de información sensible.

Vector de explotación

La explotación de esta vulnerabilidad podría llevarse a cabo a través de la manipulación de solicitudes HTTP para actualizar la configuración del plugin sin la debida autorización, aprovechando el acceso de usuarios no privilegiados.

Mitigación recomendada

Se recomienda actualizar el plugin DX Delete Attached Media a la versión 2.0.3 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar buenas prácticas de seguridad para limitar el acceso a la administración del sitio.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o registros de acceso no autorizados en el área de administración del sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin DX Delete Attached Media hasta la 2.0.2. Las instalaciones que no han actualizado a la versión 2.0.3 están en riesgo.