WPvivid Backup Plugin <= 0.9.90 - Missing Authorization via 'start_staging' and 'get_staging_progress'

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WPvivid Backup Plugin, que afecta a las versiones hasta la 0.9.90. Esta falla permite la falta de autorización en funciones clave, lo que podría comprometer la seguridad del sitio.

Contexto técnico

El fallo se origina en las funciones 'start_staging' y 'get_staging_progress', que no requieren una autorización adecuada. Esto permite que usuarios no autenticados puedan ejecutar acciones que deberían estar restringidas, aumentando la superficie de ataque del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante no autenticado realizar copias de seguridad o acceder a información sensible del sitio, lo que representa un riesgo significativo para la integridad y confidencialidad de los datos del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes directas a las funciones vulnerables, sin necesidad de autenticación previa, lo que facilita el acceso no autorizado.

Mitigación recomendada

Se recomienda actualizar el plugin WPvivid Backup Plugin a la versión 0.9.91 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales en la configuración del sitio.

Señales de detección

Se deben monitorizar los registros de acceso en busca de solicitudes inusuales a las funciones 'start_staging' y 'get_staging_progress', especialmente desde direcciones IP no reconocidas.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin WPvivid Backup Plugin en versiones iguales o anteriores a la 0.9.90.