WP Activity Log Premium <= 4.5.0 - Missing Authorization via ajax_switch_db

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WP Activity Log Premium, que afecta a las versiones hasta la 4.5.0. Esta vulnerabilidad puede ser explotada a través de una llamada AJAX no autorizada.

Contexto técnico

La vulnerabilidad se origina en una falta de verificación de autorización en la función ajax_switch_db del plugin. Esto permite a un atacante realizar acciones no autorizadas al interactuar con el sistema mediante solicitudes AJAX maliciosas.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, dado que podría permitir a un atacante acceder a información sensible o modificar configuraciones del plugin, lo que comprometería la seguridad y la integridad del sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes AJAX manipuladas que el sistema no valida adecuadamente, lo que les permite ejecutar acciones en el contexto de un usuario autenticado.

Mitigación recomendada

Se recomienda actualizar el plugin WP Activity Log Premium a la versión 4.5.2 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar controles adicionales de seguridad en las solicitudes AJAX.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales o intentos de acceso a funciones del plugin que no deberían ser accesibles por el usuario actual.

Alcance afectado

Las versiones del plugin WP Activity Log Premium hasta la 4.5.0 están afectadas por esta vulnerabilidad. La versión 4.5.2 ya incluye la solución correspondiente.