Go Pricing - WordPress Responsive Pricing Tables <= 3.3.19 - Missing Authorization to Limited Privilege Granting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Go Pricing para WordPress, que afecta a las versiones hasta la 3.3.19. Esta vulnerabilidad podría permitir a usuarios no autorizados acceder a funciones restringidas del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados de autorización en el plugin Go Pricing, lo que permite a usuarios con privilegios limitados realizar acciones que deberían estar restringidas. Esto se traduce en una superficie de ataque que puede ser aprovechada por atacantes para manipular configuraciones del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados modificar configuraciones del plugin, lo que podría afectar la integridad de los datos y la funcionalidad del sitio web. Esto puede resultar en pérdida de confianza por parte de los usuarios y posibles repercusiones económicas.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad intentando acceder a funciones del plugin que no deberían estar disponibles para su nivel de privilegio. Esto podría realizarse mediante la manipulación de solicitudes HTTP para eludir los controles de acceso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Go Pricing a la versión 3.4 o superior, donde se ha corregido el fallo. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del sitio.

Señales de detección

Señales de riesgo incluyen intentos de acceso a funciones del plugin por parte de usuarios no autorizados, así como logs de actividad inusuales que indiquen manipulación de configuraciones.

Alcance afectado

Las versiones del plugin Go Pricing hasta la 3.3.19 están afectadas por esta vulnerabilidad, lo que incluye instalaciones que no han sido actualizadas desde su publicación.