WP Easy Post Types <= 1.4.4 - Authenticated (Subscriber+) Missing Authorization via Multiple Functions

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WP Easy Post Types, que afecta a las versiones hasta la 1.4.4. Esta falla permite a los usuarios autenticados con rol de suscriptor o superior realizar acciones no autorizadas.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en múltiples funciones del plugin, lo que permite a los usuarios con privilegios limitados acceder a funcionalidades que deberían estar restringidas.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados modifiquen o accedan a contenidos sensibles, lo que podría comprometer la integridad de la información y la seguridad general del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante el envío de solicitudes autenticadas, aprovechando las funciones afectadas para realizar acciones no permitidas.

Mitigación recomendada

Se recomienda actualizar el plugin WP Easy Post Types a la versión 1.4.4 o superior, revisar los permisos de usuario y realizar un análisis de seguridad del sitio para identificar posibles accesos no autorizados.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual por parte de usuarios con rol de suscriptor, así como cambios inesperados en el contenido o configuraciones del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.4 del plugin WP Easy Post Types.