LiteSpeed Cache <= 5.7 - Missing Authorization via update_cdn_status

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin LiteSpeed Cache, que permite la falta de autorización en la función de actualización del estado del CDN. Esta vulnerabilidad, catalogada con una severidad media, podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se presenta en versiones del plugin LiteSpeed Cache hasta la 5.7, donde la función 'update_cdn_status' no valida adecuadamente las autorizaciones de los usuarios. Esto permite que un atacante pueda modificar configuraciones críticas sin los permisos necesarios.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante no autorizado altere la configuración del CDN, lo que podría llevar a la exposición de datos sensibles o a interrupciones en el servicio, afectando la reputación y la operativa del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante el envío de solicitudes maliciosas a la función vulnerable, aprovechando la falta de controles de acceso para realizar cambios no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin LiteSpeed Cache a la versión 5.7.0.1 o superior. Además, es aconsejable revisar y reforzar las políticas de acceso y autorización en el sitio.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del CDN o alertas de actividad inusual en los registros de acceso que indiquen intentos de modificación no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.7.0.1 del plugin LiteSpeed Cache.