Flex Mag - Responsive WordPress News Theme <= 3.5.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Option Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema Flex Mag para WordPress, que permite la eliminación arbitraria de opciones por parte de usuarios autenticados con rol de suscriptor o superior. Esta falla afecta a las versiones hasta la 3.5.2 y fue corregida en la versión 3.6.0.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para la eliminación de opciones dentro del tema Flex Mag. Esto significa que los usuarios con permisos limitados pueden realizar acciones que deberían estar restringidas, comprometiendo así la integridad del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado eliminar configuraciones críticas del tema, lo que podría resultar en la pérdida de funcionalidad del sitio y afectar negativamente la experiencia del usuario. Además, podría ser utilizado para deshabilitar medidas de seguridad o modificar contenido.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad accediendo al panel de administración de WordPress con credenciales de usuario autenticadas, permitiéndoles realizar solicitudes maliciosas para eliminar opciones sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Flex Mag a la versión 3.6.0 o superior. Además, es aconsejable revisar los roles y permisos de los usuarios, restringiendo el acceso a aquellos que no necesiten permisos elevados.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del tema, eliminación de opciones de personalización y reportes de comportamiento inusual en el sitio por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del tema Flex Mag hasta la 3.5.2. La vulnerabilidad fue corregida en la versión 3.6.0, lanzada el 6 de marzo de 2025.