Auto Tag Creator <= 1.0.2 - Missing Authorization via tag_save_settings_callback (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Auto Tag Creator, que afecta a las versiones anteriores a la 1.0.2. Esta falla podría permitir a un atacante realizar cambios no autorizados en la configuración del plugin.

Contexto técnico

El fallo se origina en la función 'tag_save_settings_callback', que no implementa correctamente las comprobaciones de autorización. Esto permite que usuarios no autenticados puedan acceder a funcionalidades restringidas del plugin, comprometiendo así su integridad.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a una alteración de la configuración del plugin, lo que podría resultar en un mal funcionamiento del mismo y potencialmente afectar a la experiencia del usuario y la seguridad del sitio web en general.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a la función vulnerable sin necesidad de autenticación previa, lo que les permite realizar cambios en la configuración del plugin.

Mitigación recomendada

Se recomienda actualizar el plugin Auto Tag Creator a la versión 1.0.2 o superior. Además, se sugiere revisar las configuraciones de seguridad del sitio y aplicar prácticas de hardening para minimizar riesgos.

Señales de detección

Se deben monitorizar los registros de acceso y cambios en la configuración del plugin para detectar actividades sospechosas que puedan indicar un intento de explotación.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Auto Tag Creator anteriores a la 1.0.2.