WP Cookie Consent ( for GDPR, CCPA & ePrivacy ) <= 3.0.2 - Missing Authorization to Unauthenticated Arbitrary Post Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Cookie Consent (para GDPR, CCPA y ePrivacy) en versiones hasta la 3.0.2, que permite la eliminación arbitraria de publicaciones sin autorización. Esta vulnerabilidad tiene una severidad media, con un CVSS de 5.3.

Contexto técnico

El fallo se debe a una falta de verificación de autorización que permite a usuarios no autenticados eliminar publicaciones arbitrarias. Esto representa una superficie de ataque que puede ser explotada por cualquier persona que tenga acceso al sistema sin necesidad de autenticarse.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de contenido valioso y afectar la integridad del sitio web. Esto podría tener repercusiones negativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas al servidor para eliminar publicaciones, sin necesidad de estar autenticados, lo que facilita el ataque.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.1.0 o superior. Además, se debe revisar la configuración de permisos y aplicar prácticas de hardening en el sitio web.

Señales de detección

Señales de riesgo incluyen registros de eliminación de publicaciones inusuales, especialmente si provienen de direcciones IP no reconocidas o no autenticadas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.0 del plugin WP Cookie Consent.