AI ChatBot <= 5.3.4 - Missing Authorization via openai_file_delete_callback

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin AI ChatBot, que afecta a las versiones hasta la 5.3.4. Esta falla permite la eliminación de archivos sin la debida autorización, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad radica en la función 'openai_file_delete_callback', que no implementa controles de autorización adecuados. Esto permite que un atacante pueda eliminar archivos de manera no autorizada, afectando la integridad del sistema.

Impacto potencial

El impacto potencial incluye la pérdida de datos críticos y la posibilidad de que un atacante comprometa el funcionamiento del plugin, lo que podría afectar la experiencia del usuario y la reputación del negocio.

Vector de explotación

La explotación generalmente se realiza mediante solicitudes maliciosas que invocan la función vulnerable sin las credenciales adecuadas, permitiendo la eliminación de archivos sin autorización.

Mitigación recomendada

Actualizar el plugin AI ChatBot a la versión 5.3.6 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la configuración del plugin.

Señales de detección

Señales de riesgo incluyen logs de actividad inusuales que muestren intentos de eliminar archivos, así como alertas de cambios en la estructura de archivos del plugin.

Alcance afectado

Las versiones del plugin AI ChatBot desde la 5.3.4 y anteriores están afectadas. La versión 5.3.6 ya incluye la corrección de esta vulnerabilidad.