Accordion and Accordion Slider <= 1.2.4 - Missing Authorization via 'wp_aas_get_attachment_edit_form' and 'wp_aas_save_attachment_data'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 'Accordion and Accordion Slider' en versiones hasta la 1.2.4. Esta falla permite que atacantes no autorizados accedan a funciones críticas del plugin.

Contexto técnico

La vulnerabilidad se encuentra en las funciones 'wp_aas_get_attachment_edit_form' y 'wp_aas_save_attachment_data', que no implementan correctamente las verificaciones de autorización. Esto permite a usuarios no autenticados realizar acciones que deberían estar restringidas.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante pueda modificar o eliminar datos de adjuntos en el sitio, lo que podría comprometer la integridad del contenido y afectar la confianza de los usuarios en el sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas a las funciones afectadas sin necesidad de autenticación previa, lo que facilita la ejecución de acciones no autorizadas.

Mitigación recomendada

Actualizar el plugin 'Accordion and Accordion Slider' a la versión 1.2.5 o superior. Además, revisar los permisos de usuario y aplicar controles de acceso adecuados en el sitio.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a las funciones mencionadas, así como intentos de modificación de datos de adjuntos por usuarios no autorizados.

Alcance afectado

Las versiones del plugin 'Accordion and Accordion Slider' hasta la 1.2.4 son vulnerables, lo que abarca todas las instalaciones que utilizan estas versiones.