Brizy – Page Builder <= 2.4.44 - Missing Authorization to Authenticated (Contributor+) Post Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Brizy Page Builder, que permite a usuarios autenticados con rol de colaborador o superior modificar publicaciones sin la autorización adecuada. Esta vulnerabilidad, catalogada con un CVSS de 7.1, afecta a las versiones hasta la 2.4.44 y fue publicada el 15 de julio de 2024.

Contexto técnico

El fallo se origina en la falta de controles de autorización para la modificación de publicaciones por parte de usuarios con permisos de colaborador o superiores. Esto permite que un usuario malintencionado pueda realizar cambios no autorizados en el contenido del sitio, comprometiendo la integridad de las publicaciones.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la alteración de contenido crítico, lo que podría dañar la reputación del negocio y generar pérdida de confianza entre los usuarios. Además, podría facilitar la inyección de contenido malicioso, afectando la seguridad general del sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al autenticarse como usuarios con rol de colaborador o superior y realizar modificaciones en publicaciones sin autorización, lo que puede incluir la adición de enlaces maliciosos o contenido inapropiado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Brizy Page Builder a la versión 2.4.45 o superior. Además, es aconsejable revisar los roles y permisos asignados a los usuarios para asegurarse de que solo aquellos que realmente necesitan acceso a la modificación de publicaciones lo tengan.

Señales de detección

Se deben monitorear los registros de actividad del sitio para detectar modificaciones inusuales en publicaciones, especialmente por parte de usuarios con rol de colaborador. También es recomendable implementar alertas para cambios no autorizados en el contenido.

Alcance afectado

Las versiones del plugin Brizy Page Builder hasta la 2.4.44 son vulnerables. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.