Cliengo - Chatbot <= 3.0.2 - Missing Authorization to Unauthenticated Chatbot Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de omisión de autorización en el plugin Cliengo para WordPress, que afecta a las versiones hasta la 3.0.2. Esta falla permite a usuarios no autenticados modificar la configuración del chatbot, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se origina en la falta de controles adecuados de autorización en las configuraciones del chatbot de Cliengo. Esto permite que cualquier usuario, sin necesidad de autenticación, realice cambios en la configuración del plugin, lo que representa un vector de ataque significativo.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la alteración de la funcionalidad del chatbot, con posibles repercusiones en la reputación del negocio y en la confianza de los usuarios. Además, podría facilitar ataques adicionales si se utilizan configuraciones maliciosas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes directamente a las configuraciones del plugin, sin necesidad de autenticarse, lo que les permite modificar parámetros críticos del chatbot.

Mitigación recomendada

Se recomienda actualizar el plugin Cliengo a la versión 3.0.3 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar los permisos y configuraciones de seguridad del sitio para mitigar riesgos adicionales.

Señales de detección

Se deben monitorizar los registros de acceso para detectar intentos de modificación no autorizada en la configuración del chatbot. Cualquier actividad sospechosa relacionada con cambios en la configuración del plugin puede ser un indicativo de explotación.

Alcance afectado

Las versiones del plugin Cliengo hasta la 3.0.2 están afectadas por esta vulnerabilidad. Es crucial verificar la versión instalada en cada sitio para asegurar que se ha aplicado la actualización necesaria.