myStickymenu <= 2.6.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Form Lead Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin myStickymenu, que permite la eliminación arbitraria de formularios por usuarios autenticados con rol de suscriptor o superior. Esta falla afecta a las versiones anteriores a la 2.6.5 y tiene una severidad media con un CVSS de 6.3.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en las funciones que gestionan la eliminación de formularios. Esto permite a usuarios no autorizados, específicamente aquellos con rol de suscriptor o superior, realizar acciones que deberían estar restringidas.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la eliminación no autorizada de formularios importantes, afectando la integridad de los datos y la funcionalidad del sitio. Esto puede resultar en pérdidas económicas y daño a la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a las funciones de eliminación de formularios, sin la debida autorización, lo que les permite borrar información crítica.

Mitigación recomendada

Se recomienda actualizar el plugin myStickymenu a la versión 2.6.5 o superior. Además, se debe revisar la configuración de permisos de los roles de usuario y aplicar prácticas de hardening en la gestión de formularios.

Señales de detección

Señales de explotación incluyen registros de eliminación de formularios por usuarios sin permisos adecuados o cambios inesperados en la base de datos relacionados con formularios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.5 del plugin myStickymenu.