Bulk images optimizer: Resize, optimize, convert to webp, rename ... <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) Plugin Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 'Bulk images optimizer' que permite a usuarios autenticados con rol de suscriptor y superiores actualizar opciones del plugin sin las debidas restricciones. Esta falla podría comprometer la integridad de la configuración del plugin.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados en las opciones de actualización del plugin. Esto permite que usuarios con privilegios limitados, como suscriptores, puedan realizar cambios en la configuración del plugin, lo que puede afectar su funcionamiento y seguridad.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados modifiquen configuraciones críticas del plugin, lo que podría llevar a un uso indebido de los recursos del servidor o a la introducción de configuraciones inseguras que comprometan la seguridad general del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante el acceso a las opciones del plugin a través de solicitudes maliciosas que no son correctamente validadas por el sistema, permitiendo así que un usuario autenticado modifique configuraciones sin la autorización necesaria.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 2.0.1 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los roles y permisos asignados a los usuarios en el sitio para asegurar que solo los usuarios autorizados tengan acceso a configuraciones críticas.

Señales de detección

Señales que pueden indicar riesgo incluyen cambios inesperados en la configuración del plugin, así como intentos de acceso a opciones de configuración por parte de usuarios con roles no autorizados.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin 'Bulk images optimizer' en versiones anteriores a la 2.0.1.