WordPress Backup & Migration <= 1.4.0 - Missing Authorization via wt_delete_schedule

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WordPress Backup & Migration, específicamente en versiones anteriores a la 1.4.1. Esta vulnerabilidad puede permitir acciones no autorizadas en el sistema.

Contexto técnico

El fallo se origina en la falta de verificación de autorización en la función 'wt_delete_schedule', lo que permite a un atacante ejecutar acciones sin la debida autorización. Esto afecta a la superficie de ataque al permitir la manipulación de tareas programadas sin restricciones.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante elimine o modifique copias de seguridad programadas, lo que podría resultar en la pérdida de datos críticos y afectar la continuidad del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que invocan la función vulnerable, permitiendo la eliminación de tareas programadas sin autenticación adecuada.

Mitigación recomendada

Actualizar el plugin WordPress Backup & Migration a la versión 1.4.1 o superior. Además, se recomienda revisar los permisos de usuario y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de riesgo incluyen la detección de solicitudes inusuales a la función 'wt_delete_schedule' y la monitorización de cambios inesperados en las tareas programadas del sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.1 del plugin WordPress Backup & Migration.