Awesome Support <= 6.1.6 - Insufficient Authorization via wpas_can_delete_attachments()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización insuficiente en el plugin Awesome Support, que afecta a las versiones hasta la 6.1.6. Esta vulnerabilidad puede permitir a usuarios no autorizados realizar acciones no permitidas en el sistema.

Contexto técnico

El fallo se encuentra en la función wpas_can_delete_attachments(), que no valida adecuadamente los permisos del usuario al intentar eliminar archivos adjuntos. Esto expone la superficie de ataque a usuarios que podrían eludir las restricciones de acceso.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante elimine archivos adjuntos críticos, lo que podría comprometer la integridad de los datos y la confianza del cliente. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la manipulación de solicitudes HTTP para intentar eliminar archivos adjuntos sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Awesome Support a la versión 6.1.7 o superior. Además, es aconsejable revisar los permisos de los usuarios y aplicar prácticas de hardening en la gestión de archivos adjuntos.

Señales de detección

Señales de riesgo incluyen registros de intentos de eliminación de archivos por parte de usuarios sin permisos adecuados, así como cambios inesperados en la lista de archivos adjuntos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Awesome Support hasta la 6.1.6, siendo la 6.1.7 la versión que corrige esta vulnerabilidad.