System Dashboard <= 2.8.7 - Missing Authorization to Information Disclosure (sd_option_value)

Resumen ejecutivo

La vulnerabilidad en el plugin System Dashboard hasta la versión 2.8.7 permite la divulgación de información debido a una falta de autorización. Esta vulnerabilidad tiene una severidad media y fue publicada el 6 de diciembre de 2023.

Contexto técnico

El fallo se origina en la función sd_option_value del plugin, donde no se implementan adecuadamente las restricciones de acceso. Esto permite que usuarios no autorizados accedan a información sensible que debería estar protegida.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información del sitio, permitiendo a atacantes obtener datos que pueden ser utilizados para ataques más sofisticados o para comprometer la integridad del sistema.

Vector de explotación

Generalmente, esta vulnerabilidad se puede explotar enviando solicitudes maliciosas a la función afectada, lo que permite a un atacante acceder a información sensible sin la debida autorización.

Mitigación recomendada

Actualizar el plugin System Dashboard a la versión 2.8.8 o superior es crucial para mitigar esta vulnerabilidad. Además, se recomienda revisar las configuraciones de acceso y permisos de los usuarios en el sitio.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a la función sd_option_value y intentos de acceso por parte de usuarios no autenticados a información que debería estar restringida.

Alcance afectado

Las versiones del plugin System Dashboard hasta la 2.8.7 son las afectadas. Es importante verificar si se está utilizando una versión vulnerable en las instalaciones de WordPress.