Quiz Maker <= 6.5.2.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Quiz Creation & Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin Quiz Maker que permite a usuarios autenticados de nivel suscriptor y superiores crear y modificar cuestionarios sin la autorización adecuada. Esta falla afecta a las versiones hasta la 6.5.2.4 y ha sido corregida en la versión 6.5.2.5.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados en el plugin Quiz Maker, lo que permite a los usuarios con permisos insuficientes realizar acciones que deberían estar restringidas. Esto expone el sistema a manipulaciones no autorizadas de contenido crítico.

Impacto potencial

El impacto potencial incluye la creación de contenido inapropiado o malicioso, lo que puede dañar la reputación del sitio y afectar la confianza de los usuarios. Además, podría ser utilizado como un vector para ataques más complejos, comprometiendo la seguridad general del sitio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo al panel de administración con una cuenta de suscriptor o superior y utilizando las funciones del plugin para crear o modificar cuestionarios sin las autorizaciones necesarias.

Mitigación recomendada

Actualizar el plugin Quiz Maker a la versión 6.5.2.5 o superior. Revisar los permisos de los usuarios y aplicar políticas de control de acceso más estrictas para mitigar riesgos futuros.

Señales de detección

Señales de riesgo incluyen cambios inesperados en cuestionarios existentes, la creación de nuevos cuestionarios por usuarios no autorizados y registros de actividad inusuales en el panel de administración.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.5.2.5 del plugin Quiz Maker. Los sitios que utilizan estas versiones están en riesgo y deben ser actualizados de inmediato.