Gallery Metabox <= 1.5 - Missing Authorization via refresh_metabox (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Gallery Metabox, que afecta a las versiones anteriores a la 1.5. Esta falla permite que un atacante pueda realizar acciones no autorizadas en el sistema.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en la función 'refresh_metabox', lo que permite a usuarios no autenticados interactuar con el sistema de forma indebida. Esto amplía la superficie de ataque, ya que permite el acceso a funcionalidades restringidas.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que podría permitir a un atacante realizar acciones no autorizadas, comprometiendo la integridad y la seguridad del sitio web. Esto podría resultar en pérdida de datos o alteraciones en la funcionalidad del plugin.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas a la función afectada, lo que les permite eludir las restricciones de autorización y ejecutar acciones no permitidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Gallery Metabox a la versión 1.5 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar políticas de seguridad adecuadas en el sitio.

Señales de detección

Señales de riesgo incluyen registros de accesos no autorizados a funciones del plugin o intentos de ejecución de acciones restringidas por usuarios no autenticados.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Gallery Metabox anteriores a la 1.5, lanzada el 22 de junio de 2023.