LadiApp: Landing Page, PopupX, Marketing Automation, Affiliate Marketing… <= 4.4 - Missing Authorization on publish_lp()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin LadiApp para WordPress, que afecta a las versiones anteriores a la 4.4. Esta vulnerabilidad tiene una severidad media y un CVSS de 4.3.

Contexto técnico

El fallo se origina en la función publish_lp(), donde se carece de una verificación adecuada de autorización. Esto permite que usuarios no autorizados puedan publicar contenido, lo que compromete la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a atacantes publicar contenido malicioso o no deseado en el sitio, afectando la reputación de la marca y la confianza de los usuarios. Además, podría abrir la puerta a ataques más graves, como la inyección de malware.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el envío de solicitudes maliciosas a la función vulnerable, aprovechando la falta de controles de acceso para realizar publicaciones no autorizadas.

Mitigación recomendada

Actualizar el plugin LadiApp a la versión 4.4 o superior es esencial para mitigar esta vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de roles.

Señales de detección

Señales de posible explotación incluyen la aparición de publicaciones no autorizadas o modificaciones en el contenido del sitio sin intervención del administrador.

Alcance afectado

Las versiones de LadiApp anteriores a la 4.4 son las que se encuentran afectadas por esta vulnerabilidad.