WP ERP <= 1.12.6 - Missing Authorization via admin notice dismissal

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WP ERP, que afecta a las versiones hasta la 1.12.6. Esta falla permite a usuarios no autorizados eludir ciertas restricciones administrativas mediante el cierre de notificaciones.

Contexto técnico

La vulnerabilidad radica en la falta de controles adecuados de autorización al permitir que los usuarios desactiven notificaciones administrativas. Esto puede ser explotado por un atacante con privilegios limitados para obtener acceso no autorizado a funcionalidades restringidas del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante manipular la interfaz administrativa, lo que podría llevar a una alteración no autorizada de la configuración del plugin y, potencialmente, a la exposición de datos sensibles.

Vector de explotación

Normalmente, un atacante podría aprovechar esta vulnerabilidad accediendo a la interfaz de administración y cerrando notificaciones, lo que podría permitirles eludir restricciones de acceso y realizar acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP ERP a la versión 1.12.7 o superior. Además, se sugiere revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de roles y capacidades en WordPress.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de administración, así como intentos de cierre de notificaciones por usuarios no autorizados.

Alcance afectado

Las versiones del plugin WP ERP hasta la 1.12.6 están afectadas por esta vulnerabilidad. La versión 1.12.7 corrige el problema.