SKT Page Builder <= 4.1 - Missing Authorization to Authenticated(Subscriber+) Content Injection

Resumen ejecutivo

La vulnerabilidad en el plugin SKT Page Builder, identificada como CVE-2024-1337, permite la inyección de contenido no autorizado en instalaciones afectadas. Este fallo afecta a usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

El problema radica en la falta de autorización adecuada en el plugin SKT Page Builder, lo que permite a usuarios autenticados inyectar contenido malicioso en páginas gestionadas por el plugin. Esto se debe a un control insuficiente de permisos en las funciones que manejan la edición de contenido.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a atacantes modificar el contenido visible a los usuarios finales. Esto podría resultar en daños a la reputación de la empresa, pérdida de confianza de los usuarios y posibles implicaciones legales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a las funciones del plugin que permiten la edición de contenido, sin la verificación adecuada de permisos.

Mitigación recomendada

Se recomienda actualizar el plugin SKT Page Builder a la versión 4.2 o superior, donde se ha corregido este fallo. Además, es aconsejable revisar los permisos de los usuarios y aplicar controles adicionales para la gestión de contenido.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en el contenido de las páginas, así como registros de actividad inusual por parte de usuarios autenticados con permisos limitados.

Alcance afectado

Las versiones del plugin SKT Page Builder hasta la 4.1 son vulnerables. Las instalaciones que no han actualizado a la versión 4.2 o superior están en riesgo.