10Web Booster <= 2.24.14 - Unauthenticated Arbitrary Option Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 10Web Booster, que permite la eliminación arbitraria de opciones sin autenticación. Este fallo afecta a versiones anteriores a la 2.24.18 y tiene una severidad media, con un CVSS de 6.5.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que un atacante puede ejecutar acciones no autorizadas en el plugin. Esto se traduce en la posibilidad de eliminar configuraciones críticas sin necesidad de estar autenticado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante modificar la configuración del plugin, lo que podría afectar la funcionalidad del sitio web y comprometer la seguridad general del mismo.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas al servidor que ejecuta el plugin, lo que les permite eliminar opciones sin pasar por el proceso de autenticación habitual.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin 10Web Booster a la versión 2.24.18 o superior. Además, es aconsejable revisar las configuraciones de seguridad del sitio y limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en las configuraciones del plugin, así como registros de acceso que muestren intentos de modificación sin autenticación.

Alcance afectado

Las versiones del plugin 10Web Booster hasta la 2.24.14 son las afectadas. Las instalaciones que no han actualizado a la versión 2.24.18 o superior están en riesgo.