Online Booking & Scheduling Calendar for WordPress by vcita <= 4.4.6 - Missing Authorization to Settings Update and Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' en versiones hasta la 4.4.6. Esta falla permite la actualización no autorizada de configuraciones y la carga arbitraria de archivos.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para actualizar ciertas configuraciones del plugin. Esto expone el sistema a ataques donde un atacante podría cargar archivos maliciosos, comprometiendo la integridad del sitio.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante suba archivos maliciosos, lo que podría resultar en la ejecución de código no autorizado, afectando la seguridad del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante el envío de solicitudes manipuladas que no requieren autenticación para modificar la configuración del plugin y cargar archivos arbitrarios.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 4.5 o superior, donde la vulnerabilidad ha sido corregida. Además, se sugiere revisar las configuraciones de seguridad y aplicar prácticas de hardening en el servidor.

Señales de detección

Señales de riesgo incluyen intentos inusuales de carga de archivos en el directorio del plugin o cambios inesperados en la configuración del plugin sin intervención administrativa.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.5 del plugin 'Online Booking & Scheduling Calendar for WordPress by vcita'.