WP Compress – Image Optimizer <= 6.11.08 - Missing Authorization to Unauthenticated CDN Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de omisión de autorización en el plugin WP Compress – Image Optimizer, que afecta a las versiones hasta la 6.11.08. Esta falla permite modificaciones no autorizadas en el CDN por usuarios no autenticados, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autorización, lo que significa que un atacante puede realizar modificaciones en el contenido del CDN sin necesidad de autenticarse. Esto se debe a una falta de controles de acceso adecuados en las funciones que gestionan las solicitudes de modificación.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que permite a atacantes no autenticados alterar el contenido servido por el CDN, lo que podría resultar en la distribución de contenido malicioso o la alteración de la apariencia del sitio web. Esto podría afectar la reputación de la marca y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante el envío de solicitudes maliciosas a las funciones del plugin que no validan adecuadamente la autenticación del usuario, permitiendo así la modificación del contenido del CDN.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Compress – Image Optimizer a la versión 6.11.11 o superior. Además, es aconsejable revisar las configuraciones de seguridad del CDN y aplicar controles de acceso adecuados a las funciones críticas del plugin.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen cambios inesperados en el contenido del CDN, así como registros de solicitudes inusuales que intentan acceder a funciones de modificación sin autenticación.

Alcance afectado

Las versiones del plugin WP Compress – Image Optimizer hasta la 6.11.08 son las afectadas por esta vulnerabilidad. Las versiones posteriores a la 6.11.11 no presentan este fallo.