Custom Login Page Styler <= 7.1.1 - Missing Authorization to Authenticated (Subsciber+) Log Deletion and Session Termination

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Custom Login Page Styler' en versiones hasta la 7.1.1, que permite la eliminación de registros y la terminación de sesiones sin la autorización adecuada para usuarios autenticados. Esta vulnerabilidad tiene una severidad media con un CVSS de 4.3.

Contexto técnico

El fallo radica en la falta de controles de autorización en las funciones que manejan la eliminación de registros y la terminación de sesiones para los usuarios con rol de suscriptor y superiores. Esto permite a un atacante autenticado realizar acciones que deberían estar restringidas.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante eliminar registros de acceso y finalizar sesiones de otros usuarios, lo que podría resultar en la pérdida de datos y la interrupción del servicio, afectando la confianza de los usuarios y la integridad del sistema.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la autenticación de un usuario con rol de suscriptor o superior, que posteriormente intenta acceder a las funciones vulnerables sin la debida autorización.

Mitigación recomendada

Actualizar el plugin 'Custom Login Page Styler' a la versión 7.1.2 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar políticas de seguridad adecuadas.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a funciones de eliminación de registros o terminación de sesiones, así como cambios inusuales en los registros de actividad de los usuarios.

Alcance afectado

Las versiones del plugin 'Custom Login Page Styler' hasta la 7.1.1 son las afectadas, por lo que se recomienda a los usuarios que actualicen a la versión 7.1.2 o posterior.