Inisev Plugins (Various Versions) - Missing Authorization on handle_installation function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 'HTTP HTTPS Remover' de Inisev, que afecta a diversas versiones. Este fallo permite a usuarios no autorizados ejecutar funciones críticas del plugin.

Contexto técnico

La vulnerabilidad radica en la función 'handle_installation', que no implementa correctamente los controles de autorización. Esto permite que cualquier usuario, incluso aquellos sin privilegios adecuados, pueda realizar acciones que deberían estar restringidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales manipular la configuración del plugin, lo que podría comprometer la integridad del sitio y exponer datos sensibles.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la función vulnerable, lo que les permite ejecutar acciones no autorizadas sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 3.2.4 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de plugins.

Señales de detección

Señales de posible explotación incluyen registros de accesos no autorizados a la función 'handle_installation' y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas del plugin 'HTTP HTTPS Remover' son todas las anteriores a la 3.2.4. Se aconseja a los usuarios de estas versiones que actualicen inmediatamente.