Legal Pages <= 1.3.7 - Missing Authorization on 'deleteLegalTemplate'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Legal Pages, que afecta a las versiones hasta la 1.3.7. Esta falla permite la eliminación no autorizada de plantillas legales, lo que puede comprometer la integridad de la información legal del sitio.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización en la función 'deleteLegalTemplate'. Esto permite a usuarios no autenticados o con privilegios insuficientes eliminar plantillas legales, lo que representa un riesgo para la seguridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de información crítica y a la alteración de documentos legales, lo que podría tener repercusiones legales y financieras para el negocio. La integridad de los datos legales es fundamental para la confianza del usuario y la conformidad con las normativas.

Vector de explotación

Normalmente, esta vulnerabilidad se explota enviando una solicitud maliciosa a la función vulnerable sin la debida autorización, lo que permite la eliminación de las plantillas legales sin restricciones.

Mitigación recomendada

Actualizar el plugin Legal Pages a la versión 1.3.8 o superior para corregir la vulnerabilidad. Además, es recomendable revisar los permisos de usuario y aplicar medidas de seguridad adicionales en la gestión de plugins.

Señales de detección

Señales de riesgo incluyen intentos de eliminación de plantillas legales desde cuentas no autorizadas o patrones de acceso inusuales en el registro de actividades del plugin.

Alcance afectado

Las versiones del plugin Legal Pages hasta la 1.3.7 están afectadas. Es crucial verificar todas las instalaciones que utilicen este plugin para asegurar que no se encuentren en versiones vulnerables.