Sky Addons for Elementor (Free Templates Library, Live Copy, Animations, Post Grid, Post Carousel, Particles, Sliders, Chart, Blogs) <= 2.6.2 - Missing Authorization to Authenticated (Subscriber+) Limited Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Sky Addons for Elementor, que permite actualizaciones arbitrarias de opciones sin la autorización adecuada para usuarios autenticados con roles de suscriptor y superiores. Esta falla, catalogada con un CVSS de 8.1, puede comprometer la integridad del sitio web.

Contexto técnico

El fallo radica en la falta de controles de autorización en las funciones que gestionan la actualización de opciones dentro del plugin. Esto permite que usuarios con permisos limitados puedan realizar cambios no autorizados en la configuración del plugin, afectando potencialmente la funcionalidad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la modificación no autorizada de configuraciones críticas, lo que podría resultar en la alteración del comportamiento del sitio, pérdida de datos o incluso la inyección de código malicioso. Esto representa un riesgo significativo para la seguridad y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que intenten actualizar opciones del plugin sin contar con los permisos necesarios, lo que podría ser realizado mediante scripts automatizados o herramientas de explotación.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Sky Addons for Elementor a la versión 2.6.3 o superior. Además, se sugiere revisar los permisos de usuario y aplicar principios de menor privilegio en la gestión de roles dentro de WordPress.

Señales de detección

Se deben monitorizar los logs de acceso y errores para detectar intentos de modificación de opciones sin autorización. También es importante estar alerta a cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.3 del plugin Sky Addons for Elementor, lanzadas antes del 21 de noviembre de 2024.