WP Travel Engine <= 6.2.1 - Missing Authorization to Authenticated (Contributor+) Plugin Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Travel Engine, que permite a usuarios autenticados con rol de contribuyente o superior modificar la configuración del plugin sin la autorización adecuada. Esta vulnerabilidad, catalogada con una severidad media, afecta a las versiones hasta la 6.2.1 y fue corregida en la versión 6.2.2.

Contexto técnico

El fallo se origina en la falta de controles de autorización en la actualización de la configuración del plugin WP Travel Engine. Esto permite que usuarios con privilegios bajos, como los contribuyentes, realicen cambios no autorizados en la configuración del plugin, lo que puede comprometer la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la alteración de la configuración del plugin, lo que podría afectar la funcionalidad del sitio web y potencialmente comprometer la información de los usuarios. Esto puede resultar en una pérdida de confianza por parte de los usuarios y afectar negativamente la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al panel de administración con una cuenta de usuario autenticada con rol de contribuyente o superior, y realizando cambios en la configuración del plugin sin la autorización adecuada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Travel Engine a la versión 6.2.2 o superior. Además, se debe revisar y reforzar la gestión de permisos de usuario en el sitio para limitar el acceso a configuraciones críticas.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del plugin por usuarios con privilegios de contribuyente, así como registros de acceso inusuales en el panel de administración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WP Travel Engine hasta la 6.2.1. Las instalaciones que no han sido actualizadas a la versión 6.2.2 están en riesgo.