Getwid – Gutenberg Blocks <= 2.0.10 - Missing Authorization to Google API key update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Getwid para Gutenberg, que afecta a las versiones hasta la 2.0.10. Esta debilidad permite la actualización no autorizada de la clave de API de Google, lo que podría comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad radica en la falta de controles adecuados de autorización al actualizar la clave de API de Google. Esto significa que cualquier usuario con acceso al panel de administración podría potencialmente modificar la configuración crítica sin las restricciones necesarias, exponiendo así el entorno a riesgos adicionales.

Impacto potencial

El impacto de esta vulnerabilidad es moderado, con un CVSS de 5.3, lo que indica que, aunque no es crítica, podría permitir a un atacante obtener acceso no autorizado a funcionalidades del plugin que dependen de la clave de API, afectando la integridad y disponibilidad de los servicios asociados.

Vector de explotación

La explotación de esta vulnerabilidad podría llevarse a cabo mediante la manipulación de las configuraciones del plugin por parte de un usuario malintencionado que ya tenga acceso al área de administración, lo que le permitiría cambiar la clave de API y redirigir las solicitudes a un servicio controlado por él.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Getwid a la versión 2.0.11 o superior. Además, es aconsejable revisar los permisos de usuario en el panel de administración y aplicar las mejores prácticas de seguridad en la gestión de claves de API.

Señales de detección

Las señales de riesgo pueden incluir cambios no autorizados en la configuración del plugin o alertas sobre accesos inusuales en el área de administración. También se debe prestar atención a cualquier actividad sospechosa relacionada con la clave de API de Google.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.11 del plugin Getwid. Es importante que los administradores de WordPress verifiquen las versiones instaladas en sus sitios para asegurar que están protegidos.