WordPress Backup & Migration <= 1.4.1 - Missing Authorization to Settings and Schedule Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 'WordPress Backup & Migration' en versiones hasta la 1.4.1. Esta falla permite modificaciones no autorizadas en la configuración y programación del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados, lo que permite a usuarios no autenticados realizar cambios en la configuración del plugin. Esto expone la superficie de ataque a cualquier visitante que pueda acceder a las funciones del plugin sin las credenciales necesarias.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante modifique la programación de copias de seguridad o la configuración del plugin, lo que podría resultar en la pérdida de datos o en la exposición de información sensible, afectando así la integridad y disponibilidad del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no están protegidas por controles de acceso, permitiendo así cambios en la configuración sin necesidad de autenticación.

Mitigación recomendada

Actualizar el plugin 'WordPress Backup & Migration' a la versión 1.4.2 o superior. Además, se recomienda revisar las configuraciones de seguridad y aplicar medidas de hardening en el sitio web para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo pueden incluir cambios inesperados en la configuración del plugin, así como intentos de acceso a funciones administrativas por parte de usuarios no autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.2 del plugin 'WordPress Backup & Migration'.