System Dashboard <= 2.8.8 - Missing Authorization to Information Disclosure (sd_php_info)

Resumen ejecutivo

La vulnerabilidad identificada en el plugin System Dashboard, hasta la versión 2.8.8, permite la divulgación de información sensible debido a una falta de autorización. Esta falla, catalogada como de severidad media, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en el componente sd_php_info, donde la falta de controles de acceso adecuados permite a usuarios no autorizados acceder a información sensible del sistema. Esto expone datos que deberían estar protegidos, aumentando la superficie de ataque.

Impacto potencial

La exposición de información sensible puede llevar a un compromiso de la seguridad de la instalación, lo que podría resultar en accesos no autorizados y potenciales ataques más complejos. Esto podría impactar negativamente en la confianza de los usuarios y en la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo a la funcionalidad sd_php_info sin la debida autorización, lo que les permite obtener información crítica del sistema.

Mitigación recomendada

Actualizar el plugin System Dashboard a la versión 2.8.8 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad y aplicar controles de acceso adicionales.

Señales de detección

Señales de riesgo incluyen intentos de acceso no autorizado a la funcionalidad sd_php_info y registros de solicitudes inusuales en los logs de acceso del servidor.

Alcance afectado

Las versiones del plugin System Dashboard anteriores a la 2.8.8 están afectadas por esta vulnerabilidad. Es crucial que los administradores de WordPress verifiquen las versiones instaladas.