GeoDirectory <= 2.3.70 - Missing Authorization via geodirectory_rated()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin GeoDirectory, que afecta a las versiones hasta la 2.3.70. Esta falla permite que usuarios no autorizados realicen acciones restringidas en el sistema.

Contexto técnico

La vulnerabilidad se encuentra en la función geodirectory_rated(), que carece de controles adecuados de autorización. Esto expone el sistema a ataques donde un atacante puede interactuar con funcionalidades que deberían estar protegidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados modificar configuraciones o acceder a datos sensibles, lo que podría comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes generalmente explotan esta vulnerabilidad enviando solicitudes maliciosas a la función afectada, intentando realizar acciones que no deberían estar permitidas para su nivel de acceso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin GeoDirectory a la versión 2.3.71 o superior. Además, se sugiere revisar los permisos de usuario y aplicar controles adicionales de autorización en las funciones críticas.

Señales de detección

Señales de riesgo pueden incluir registros de acceso inusuales o intentos de acceso a funciones restringidas por parte de usuarios no autorizados.

Alcance afectado

Las versiones del plugin GeoDirectory hasta la 2.3.70 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de la versión 2.3.71.