WP Word Count <= 3.2.4 - Missing Authorization via calculate_statistics

Resumen ejecutivo

La vulnerabilidad CVE-2023-46628 afecta al plugin WP Word Count en versiones hasta 3.2.4, permitiendo la falta de autorización en la función de cálculo de estadísticas. Este fallo puede ser explotado por usuarios no autorizados para acceder a información sensible.

Contexto técnico

El problema radica en la ausencia de controles de autorización en la función 'calculate_statistics' del plugin WP Word Count. Esto permite que cualquier usuario, independientemente de su nivel de acceso, pueda ejecutar esta función y obtener estadísticas que deberían estar restringidas.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la exposición de datos confidenciales y a la violación de la privacidad de los usuarios, lo que podría resultar en daños a la reputación de la empresa y posibles implicaciones legales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes a la función vulnerable sin necesidad de autenticación, lo que les permite acceder a estadísticas que deberían estar protegidas.

Mitigación recomendada

Actualizar el plugin WP Word Count a la versión 3.2.4 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la limitación de acceso a funciones críticas.

Señales de detección

Monitorear los registros de acceso para detectar intentos inusuales de acceso a la función 'calculate_statistics' por usuarios no autorizados puede ser una señal de explotación.

Alcance afectado

Las versiones del plugin WP Word Count anteriores a la 3.2.4 son vulnerables. Se recomienda a los administradores de sitios web que verifiquen la versión instalada de este plugin.