Visibility Logic for Elementor <= 2.3.4 - Missing Authorization via admin_post 'toggle_option'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 'Visibility Logic for Elementor' en versiones hasta la 2.3.4. Esta falla permite a usuarios no autorizados realizar acciones que deberían estar restringidas.

Contexto técnico

La vulnerabilidad radica en la falta de verificación de autorización en la función 'toggle_option' del endpoint 'admin_post'. Esto permite que cualquier usuario, incluso aquellos sin privilegios adecuados, pueda modificar configuraciones del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales cambiar configuraciones del plugin, lo que podría afectar la funcionalidad del sitio y comprometer su seguridad general.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas al endpoint 'admin_post' sin necesidad de autenticación adecuada, lo que les permite manipular opciones del plugin.

Mitigación recomendada

Se recomienda actualizar el plugin 'Visibility Logic for Elementor' a la versión 2.3.5 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de hardening en la configuración de WordPress.

Señales de detección

Se deben monitorizar los registros de acceso y actividad en el backend de WordPress para identificar solicitudes inusuales al endpoint 'admin_post'.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.3.5 del plugin 'Visibility Logic for Elementor'.