HTML5 Video Player – mp4 Video Player Plugin and Block <= 2.5.34 - Missing Authorization to Authenticated (Subscriber+) Limited Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin HTML5 Video Player, que permite a usuarios autenticados con rol de suscriptor y superiores realizar actualizaciones limitadas sin la autorización adecuada. Esta falla afecta a las versiones hasta la 2.5.34 del plugin.

Contexto técnico

El fallo radica en la falta de controles de autorización adecuados, lo que permite a usuarios con permisos limitados acceder a opciones que deberían estar restringidas. Esto expone la superficie de ataque a usuarios que, aunque no deberían tener acceso completo, pueden modificar configuraciones del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante autenticado realizar cambios no autorizados en la configuración del plugin, comprometiendo así la integridad del contenido multimedia y potencialmente afectando la experiencia del usuario. Esto podría tener repercusiones en la reputación del negocio y la confianza del cliente.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el acceso a la interfaz del plugin por parte de un usuario autenticado que intenta realizar cambios en las opciones del plugin sin los permisos necesarios.

Mitigación recomendada

Se recomienda actualizar el plugin HTML5 Video Player a la versión 2.5.35 o superior para corregir esta vulnerabilidad. Además, es aconsejable revisar los roles y permisos de los usuarios en el sitio para asegurar que solo los usuarios autorizados tengan acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen intentos inusuales de acceso a la configuración del plugin por parte de usuarios con roles de suscriptor o similares, así como cambios no autorizados en las configuraciones del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.5.35 del plugin HTML5 Video Player. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión actual.