Integrate Google Drive <= 1.1.99 - Missing Authorization via REST API Endpoints

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Integrate Google Drive, que afecta a las versiones hasta la 1.1.99. Esta falla permite el acceso no autorizado a través de los endpoints de la API REST.

Contexto técnico

La vulnerabilidad se origina en la falta de un mecanismo adecuado de autorización en los endpoints de la API REST del plugin. Esto significa que un atacante podría realizar solicitudes no autorizadas y acceder a datos sensibles sin la debida autenticación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información crítica, comprometiendo la seguridad del sitio y la privacidad de los datos de los usuarios. Esto podría resultar en daños a la reputación y posibles sanciones legales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a los endpoints de la API REST sin las credenciales necesarias, lo que les permite obtener acceso no autorizado a los recursos del plugin.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.2.0 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar las configuraciones de seguridad y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Se deben monitorizar los registros de acceso para identificar solicitudes inusuales a los endpoints de la API REST, así como cualquier intento de acceso no autorizado a los recursos del plugin.

Alcance afectado

Las versiones del plugin Integrate Google Drive hasta la 1.1.99 son las afectadas. Los usuarios que no hayan actualizado a la versión 1.2.0 o superior están en riesgo.