Rank Math SEO <= 1.0.235 - Missing Authorization to Authenticated (Contributor+) Arbitrary Schema Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación arbitraria de esquemas en el plugin Rank Math SEO, afectando a versiones hasta la 1.0.235. Esta falla permite a usuarios autenticados con rol de colaborador o superior eliminar esquemas sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en las funciones que gestionan los esquemas dentro del plugin. Esto permite que cualquier usuario autenticado con permisos de colaborador o superiores ejecute acciones no autorizadas, afectando la integridad de los datos del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que puede permitir a usuarios no autorizados eliminar información crítica del esquema, lo que podría afectar negativamente la funcionalidad del sitio y la experiencia del usuario. A largo plazo, esto podría comprometer la confianza de los visitantes y afectar el rendimiento SEO.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el acceso a la interfaz del plugin por parte de un usuario autenticado que tiene permisos de colaborador o superiores, lo que les permite realizar solicitudes para eliminar esquemas sin las autorizaciones adecuadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Rank Math SEO a la versión 1.0.236 o superior. Además, es aconsejable revisar y ajustar los permisos de los usuarios en el sitio para limitar el acceso a funciones críticas.

Señales de detección

Las señales de posible explotación incluyen la actividad inusual de usuarios autenticados, como intentos de eliminación de esquemas o cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Rank Math SEO hasta la 1.0.235 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.