UserPro <= 5.1.1 - Missing Authorization via multiple functions

Resumen ejecutivo

Se ha identificado una vulnerabilidad de alta gravedad en el plugin UserPro, que afecta a las versiones hasta la 5.1.1. Esta vulnerabilidad se debe a una falta de autorización en múltiples funciones, lo que podría permitir acciones no autorizadas por parte de usuarios malintencionados.

Contexto técnico

La vulnerabilidad se origina por la ausencia de controles de autorización adecuados en varias funciones del plugin UserPro. Esto permite a usuarios no autorizados acceder a funcionalidades que deberían estar restringidas, lo que incrementa la superficie de ataque del plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que podría permitir a un atacante realizar acciones no autorizadas, comprometiendo la integridad y la seguridad de la instalación de WordPress. Esto podría resultar en pérdida de datos o en la alteración de la funcionalidad del sitio web, afectando la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a las funciones afectadas del plugin, logrando así ejecutar acciones que deberían requerir permisos específicos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin UserPro a la versión 5.1.2 o superior, donde se ha corregido el fallo de autorización. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad adicionales en la configuración del sitio.

Señales de detección

Señales de riesgo incluyen intentos de acceso a funciones restringidas por parte de usuarios no autenticados o errores de autorización en los registros de actividad del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de UserPro hasta la 5.1.1. La versión 5.1.2 ya incluye la corrección de esta vulnerabilidad.